subject:"\[OT\]Malware relacionado con cuentas de correo llegan a grupos."


On 03/21/2014 10:53 PM, consultor wrote:

On 03/21/2014 08:56 AM, Camaleón wrote:

El Fri, 21 Mar 2014 15:40:16 +, C. L. Martinez escribió:


2014-03-21 15:30 GMT+00:00 Camaleón noela...@gmail.com:


(...)


Pues la noticia/informe de ESET sigue aparecer en los medios IT, ni en
los boletines de seguridad a los que estoy suscrita, me parece que le
han querido dar mucho bombo a algo que no lo tiene, quizá porque todo
lo que lleve en la misma frase linux y vulnerable venda más.


Pues es noticia en portales IT:

http://it-beta.slashdot.org/story/14/03/18/2218237/malware-attack-

infected-25000-linuxunix-servers

http://www.welivesecurity.com/2014/03/18/attack-unix-operation-windigo/
http://www.welivesecurity.com/wp-content/uploads/2014/03/

operation_windigo.pdf

https://news.ycombinator.com/item?id=7426994
http://thehackernews.com/2014/03/operation-windigo-linux-malware.html



(...)

No tengo ninguna referencia en los RSS de seguridad que sigo, entre
otros: securityfocus, una-al-día y uscert. Nada.


Busca en google por operation windigo


Sí, lo sé, y todos están un poco perdidos y te dirigen al estudio de ESET
por lo que o una de dos, o tampoco han logrado entender de qué va la cosa
o le están haciendo caja a ESET ;-)

Saludos,



Yo tengo la impresion de que se trata de una farsa; basta ver el
lenguaje impreciso que usan! En ningun documento, explican con claridad
lo que sugieren. En el doc en Castellano, dicen palabras de paso y en
Ingles dicen Credenciales, que es generico. Ademas, ESET es quien
promueve el uso de antivirus y anti-malware en Windows!



Permitidme la expresión: estoy alucinando con vosotros. Pero vamos a 
ver: ¿que empresa COMERCIAL que se dedique a temas de seguridad 
(antivirus, firewall, IDP, etc.) os creeis que os van a mostrar sus 
procedimientos de information gathering? Ya te lo indico yo: ninguna.


Pero hombre, seamos serios. Existe una cosita que se llama Threat 
Intelligence que si buscas por google ya te va a dar muchas pistas de 
las técnicas que se utilizan y es más tienes a tu disposición 
herramientas opensource para poder hacer lo mismo que ha hecho ESET para 
conseguir la info, añadiendo más herramientas como SIEM's, HIDS, etc.


Documentación imprecisa: lo mismo. ¿Que esperáis un tutorial en le que 
os digan primero he hecho un nmap a este rangos de IP's, después he 
ejecutado Hydra para la adquisición de passwords, tercero he ...? Pues 
no lo esperies: no os lo van a dar.


Si os pica la curiosidad tenéis dos opciones: os lo trabajais vosotros 
buscando info o os apuntáis a un curso del SANS, offensive-security o el 
que más os guste y os lo explican ... Que tampoco estamos hablando de 
información de la CIA señores :))


Y un consejo: el informe que siempre vale es el redactado en inglés y 
ahí siempre te hablan de robo de paswords, que por otro lado consultor, 
quedan englobadas en un procedimiento de credenciales, porque para 
empezar puden estar incluidas un procedimeinto de autenticación de doble 
factor ...


Y por cierto, si dices que has utilizado BackTrack parece mentira lo que 
estás diciendo. Tanto en BackTrack como en kali tienes las tools 
necesarias ...


Un último punto: si se trata de una farsa, ESET sabrá. Publicando 
informes como ese, una empresa se juega el prestigio, aka $$$. Una cosa 
así los hunde en la miseria como se demuestre que es mentira. ¿Que 
quieren venderte su antivirus?. Obvio: no son una ONG. Pero permíteme 
que te diga: un problema como el descrito solo te lo detecta un HIDS en 
su fase inicial (ni antivirus ni leches. Te lo dice uno que no usa 
antivirus en sus Windows hace años) y ESET no tiene HIDS para Unix hasto 
donde yo sé, pero no te lo aseguro. La única empresa antivirus comercial 
con un HIDS contrastado es TrendMicro con OSSEC.


Saludos.




--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/532d967d.30...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Fri, 21 Mar 2014 20:27:39 +, carlopmart escribió:

 On 03/21/2014 07:00 PM, Camaleón wrote:

(...)

 La única página donde se ve realmente el problema (el no problema,
 mejor dicho) es la 66. El resto es puro grafiquito y mucho marqueting.
 Un administrador lo primero que te va a preguntar es ¿y cómo se
 contagia uno con este bicho? Y no ¿cuál es el big-picture, cuántos
 sistemas se han infectado y qué consecuencias tiene?
 
 Pero vamos a ver, ¿que no-info no te dan? 

La que te he preguntando en el primer mensaje que he enviado en este hilo 
(vector de ataque).

 ¿Como han entrado en los servers?: pues te lo están diciendo en la
 página 16. Robo de contraseñas. 

Robos de contraseñas se producen desde hace 20 años en todos los sistemas 
operativos y nadie ha puesto el grito en el cielo por eso. La gravedad de 
ese robo de contraseñas sería si el vector de ataque para que se produzca 
sea inadvertido a los administradores y que tenga origen en un exploit 
que no se haya detectado, que no se haya corregido y que esté siendo 
aprovechado en este mismo momento.

Nada de eso dice el informe porque nada de eso ha pasado. 

Las malas prácticas en la administración de sistemas siempre han existido 
y existirán, como sucede en otros sectores, pero de ahí a catalogar ese 
informe como el big bang de la informática y entenderlo de carácter 
crítico va un largo trecho. Lo único que hace ese informe de ESET es 
recopilar una serie de datos de sistemas que han sido vulnerados (nada 
nuevo) por una mala administración (nada nuevo) y malas prácticas en la 
seguridad de los sistemas (de nuevo, nada nuevo...).

 ¿Que como se hace eso? Hombre te tengo por una persona bastante
 inteligente ... Un par de búsquedas por san goole y listos.

Pues vaya churro de informe si en 69 páginas no es capaz de analizar con 
pelos y señales la información que están exponiendo. Si después de 69 
páginas tengo que ir a buscar datos básicos a otro lado entonces no se 
trata de un informe técnico sino de un simple panfleto.

 El contagio: ¿que contagio? Lo único que han hecho ha sido instalarse un
 backdoor para asegurarse acceso permanente. A partir de ahí, los propios
 técnicos de ESEt que elaboran el informe no te puden garantizar que más
 travesuras se han hecho, porque entre otras cosas han realizado DNS
 poisoning, y eso implica que pueden haber redireccionado a los usuarios
 a cualquier site. A parte de lo del spam, que vuelvo a decir que me
 chirria y mucho.

Pero vamos a ver... si tengo las claves y soy dueño del sistema, instalar 
un backdoor ¡es lo de menos!, lo que hago es dejar corriendo un rm 
recursivo en segundo plano y santas pascuas.

 Ya he visto suficiente no-info, no es eso lo que digo sino que me
 parece que le has dado demasiada importancia algo que no la tiene.
 Porque servidores con linux/unix/bsd infectados se cuentan en decenas
 de miles antes y después de este informe.
 
 le doy cierta importancia por dos motivos: el volumen de servidores 

¿No conocías páginas con este tipo de información? Pues las hay desde 
hace años ya...

http://hostexploit.com/

 y la facilidad de como lo han conseguido (y si el CERN suizo está de por
 medio, una entidad que normalmente no se dedica a esto, es todavía mucho
 más extraño).

No veo nada extraño en que participe el CERN u otras entidades europeas 
en la elaboración del informe, ellos también tienen máquinas que pueden 
haber sido comprometidas o dispondrán de departamentos especializados en 
este tipo de problemas.

 Y segurián infectando servidores ... pero el tema está en que lo que
 sorprende la facilidad con lo que lo han hecho y haber estado 4 años sin
 que casi nadie se entere.

Bueno, la ingeniería social no deja de ser sencilla a la par que 
efectiva, además, siempre he dicho que no hay sistemas operativos malos 
sino administradores malos.

 Es más, yo recibo spam todos los santos días desde hace la tira de años
 y si te fijas en la cabecera de los mensajes te das cuenta de que no se
 ha generado desde clientes windows zombies sino desde un script PHP en
 un servidor web bajo, oh, Linux. Script vulnerable y no actualizado,
 versión de PHP con bugs sin parchear y administradores perezosos. Nada
 nuevo.
 
 Pues yo llevo más de dos años tranquilamente con 0 spam, por lo que
 comenté anteriormente: hay en dia cualquier cacharro anti-spam lo para
 casi todo. 

¿Sí? Pues pregúntale a Google/Gmail a ver qué te dice. Yo tengo unos 700 
y pico correos en la carpeta de spam de mi cuenta de Gmail.

 El spam ha dejado de ser negocio ...

Que vaya a menos (con la entrada de los smartphones ahora existen otras 
formas de ganar dinero fácil... y hasta legalmente) no quiere decir que 
deje de ser un negocio. Y además es de los más rentable porque la 
inversión inicial es mínima.

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive:

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.


On 03/22/2014 02:52 PM, Camaleón wrote:

El Fri, 21 Mar 2014 20:27:39 +, carlopmart escribió:


On 03/21/2014 07:00 PM, Camaleón wrote:


(...)


La única página donde se ve realmente el problema (el no problema,
mejor dicho) es la 66. El resto es puro grafiquito y mucho marqueting.
Un administrador lo primero que te va a preguntar es ¿y cómo se
contagia uno con este bicho? Y no ¿cuál es el big-picture, cuántos
sistemas se han infectado y qué consecuencias tiene?


Pero vamos a ver, ¿que no-info no te dan?


La que te he preguntando en el primer mensaje que he enviado en este hilo
(vector de ataque).


¿Como han entrado en los servers?: pues te lo están diciendo en la
página 16. Robo de contraseñas.


Robos de contraseñas se producen desde hace 20 años en todos los sistemas
operativos y nadie ha puesto el grito en el cielo por eso. La gravedad de
ese robo de contraseñas sería si el vector de ataque para que se produzca
sea inadvertido a los administradores y que tenga origen en un exploit
que no se haya detectado, que no se haya corregido y que esté siendo
aprovechado en este mismo momento.


El vector de ataque o es robo de información o es la utilización de un 
red personal de 25.000 servidores para negocios propios, sea al nivel 
que sea.




Nada de eso dice el informe porque nada de eso ha pasado.


Repito: tu no te has leido el informe ni los links que te envié. De los 
exploits se tiene concimiento desde el 2013 y de otro del 2012.




Las malas prácticas en la administración de sistemas siempre han existido
y existirán, como sucede en otros sectores, pero de ahí a catalogar ese
informe como el big bang de la informática y entenderlo de carácter
crítico va un largo trecho. Lo único que hace ese informe de ESET es
recopilar una serie de datos de sistemas que han sido vulnerados (nada
nuevo) por una mala administración (nada nuevo) y malas prácticas en la
seguridad de los sistemas (de nuevo, nada nuevo...).


¿Quien ha hablado de bing bang de la informática?? Es uno de los 
ataques más serios después del APT1 si finalmente se confirma...





¿Que como se hace eso? Hombre te tengo por una persona bastante
inteligente ... Un par de búsquedas por san goole y listos.


Pues vaya churro de informe si en 69 páginas no es capaz de analizar con
pelos y señales la información que están exponiendo. Si después de 69
páginas tengo que ir a buscar datos básicos a otro lado entonces no se
trata de un informe técnico sino de un simple panfleto.


Búscame un informe técnico de una empresa comercial que esté denunciando 
un hecho así y te dé pelos y señales del como, cuando y demás: ninguna. 
Lo he expuesto en un correo anterior.





El contagio: ¿que contagio? Lo único que han hecho ha sido instalarse un
backdoor para asegurarse acceso permanente. A partir de ahí, los propios
técnicos de ESEt que elaboran el informe no te puden garantizar que más
travesuras se han hecho, porque entre otras cosas han realizado DNS
poisoning, y eso implica que pueden haber redireccionado a los usuarios
a cualquier site. A parte de lo del spam, que vuelvo a decir que me
chirria y mucho.


Pero vamos a ver... si tengo las claves y soy dueño del sistema, instalar
un backdoor ¡es lo de menos!, lo que hago es dejar corriendo un rm
recursivo en segundo plano y santas pascuas.



¿Un rm recursivo en segundo plano?? ¿Te está cachondeando verdad?? Hasta 
mi hijo vé eso :))






Ya he visto suficiente no-info, no es eso lo que digo sino que me
parece que le has dado demasiada importancia algo que no la tiene.
Porque servidores con linux/unix/bsd infectados se cuentan en decenas
de miles antes y después de este informe.


le doy cierta importancia por dos motivos: el volumen de servidores


¿No conocías páginas con este tipo de información? Pues las hay desde
hace años ya...

http://hostexploit.com/


¿hostexploit.com?? ¿Estás de broma?? Si estos son peores que los de ESET 
:)).






y la facilidad de como lo han conseguido (y si el CERN suizo está de por
medio, una entidad que normalmente no se dedica a esto, es todavía mucho
más extraño).


No veo nada extraño en que participe el CERN u otras entidades europeas
en la elaboración del informe, ellos también tienen máquinas que pueden
haber sido comprometidas o dispondrán de departamentos especializados en
este tipo de problemas.


Y segurián infectando servidores ... pero el tema está en que lo que
sorprende la facilidad con lo que lo han hecho y haber estado 4 años sin
que casi nadie se entere.


Bueno, la ingeniería social no deja de ser sencilla a la par que
efectiva, además, siempre he dicho que no hay sistemas operativos malos
sino administradores malos.


Es más, yo recibo spam todos los santos días desde hace la tira de años
y si te fijas en la cabecera de los mensajes te das cuenta de que no se
ha generado desde clientes windows zombies sino desde un script PHP en
un servidor web bajo, oh, Linux. Script vulnerable y no actualizado,
versión de PHP con bugs sin parchear y

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Sat, 22 Mar 2014 13:56:13 +, carlopmart escribió:

 On 03/21/2014 10:53 PM, consultor wrote:
 On 03/21/2014 08:56 AM, Camaleón wrote:

(...)

 No tengo ninguna referencia en los RSS de seguridad que sigo, entre
 otros: securityfocus, una-al-día y uscert. Nada.

 Busca en google por operation windigo

 Sí, lo sé, y todos están un poco perdidos y te dirigen al estudio de
 ESET por lo que o una de dos, o tampoco han logrado entender de qué va
 la cosa o le están haciendo caja a ESET ;-)

 Yo tengo la impresion de que se trata de una farsa; basta ver el
 lenguaje impreciso que usan! En ningun documento, explican con claridad
 lo que sugieren. En el doc en Castellano, dicen palabras de paso y en
 Ingles dicen Credenciales, que es generico. Ademas, ESET es quien
 promueve el uso de antivirus y anti-malware en Windows!


 Permitidme la expresión: estoy alucinando con vosotros. Pero vamos a
 ver: ¿que empresa COMERCIAL que se dedique a temas de seguridad
 (antivirus, firewall, IDP, etc.) os creeis que os van a mostrar sus
 procedimientos de information gathering? Ya te lo indico yo: ninguna.

(...)

A mí también me extraña que les des tanta importancia a ese informe, no 
es más que una recopilación de datos por parte de una empresa que se 
dedica al desarrollo de soluciones antivirus y que /curiosamente/ termina 
el informe diciendo eh, si tienes instalado un openssh modificado 
reinstala desde cero el sistema y ponte un antivirus.

Pues no sé cómo decirlo suavemente... ¡venga ya! :-/

Las recomendaciones y buenas prácticas en la administración de sistemas 
llevan años disponibles para descargar libremente desde distintas 
asociaciones (SANS Institute¹ entre ellas), si alguien no las quiere leer 
es problema suyo pero desde luego nada que se pueda catalogar de  
hecatombe salvo que los intereses sean otros.

¹http://www.sans.org/reading-room/whitepapers/bestprac

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.22.15.53...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.


On 03/22/2014 03:53 PM, Camaleón wrote:

El Sat, 22 Mar 2014 13:56:13 +, carlopmart escribió:


On 03/21/2014 10:53 PM, consultor wrote:

On 03/21/2014 08:56 AM, Camaleón wrote:


(...)


No tengo ninguna referencia en los RSS de seguridad que sigo, entre
otros: securityfocus, una-al-día y uscert. Nada.


Busca en google por operation windigo


Sí, lo sé, y todos están un poco perdidos y te dirigen al estudio de
ESET por lo que o una de dos, o tampoco han logrado entender de qué va
la cosa o le están haciendo caja a ESET ;-)


Yo tengo la impresion de que se trata de una farsa; basta ver el
lenguaje impreciso que usan! En ningun documento, explican con claridad
lo que sugieren. En el doc en Castellano, dicen palabras de paso y en
Ingles dicen Credenciales, que es generico. Ademas, ESET es quien
promueve el uso de antivirus y anti-malware en Windows!



Permitidme la expresión: estoy alucinando con vosotros. Pero vamos a
ver: ¿que empresa COMERCIAL que se dedique a temas de seguridad
(antivirus, firewall, IDP, etc.) os creeis que os van a mostrar sus
procedimientos de information gathering? Ya te lo indico yo: ninguna.


(...)

A mí también me extraña que les des tanta importancia a ese informe, no
es más que una recopilación de datos por parte de una empresa que se
dedica al desarrollo de soluciones antivirus y que /curiosamente/ termina
el informe diciendo eh, si tienes instalado un openssh modificado
reinstala desde cero el sistema y ponte un antivirus.

Pues no sé cómo decirlo suavemente... ¡venga ya! :-/


¿Y yo que he dicho en ese mismo email: Un último punto: si se trata de 
una farsa, ESET sabrá. Publicando informes como ese, una empresa se 
juega el prestigio, aka $$$. Una cosa así los hunde en la miseria como 
se demuestre que es mentira. ¿Que quieren venderte su antivirus?. Obvio: 
no son una ONG???




Las recomendaciones y buenas prácticas en la administración de sistemas
llevan años disponibles para descargar libremente desde distintas
asociaciones (SANS Institute¹ entre ellas), si alguien no las quiere leer
es problema suyo pero desde luego nada que se pueda catalogar de
hecatombe salvo que los intereses sean otros.



¿Que hecatombe? Lo único que es dicho es que es bastante grave si están 
más de 25.000 servidores, y remarco lo de servidores, involucrados ... 
Ni Sutxnet llegó a esas cifras ...


Ahora dime tú un ataque en el que se puedan haber vulnerado más de 
25.000 servidores en los últimos meses ...


¿Me explico ahora?


--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/532db3ad.7000...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Sat, 22 Mar 2014 15:38:01 +, carlopmart escribió:

 On 03/22/2014 02:52 PM, Camaleón wrote:

(...)

 ¿Como han entrado en los servers?: pues te lo están diciendo en la
 página 16. Robo de contraseñas.

 Robos de contraseñas se producen desde hace 20 años en todos los
 sistemas operativos y nadie ha puesto el grito en el cielo por eso. La
 gravedad de ese robo de contraseñas sería si el vector de ataque para
 que se produzca sea inadvertido a los administradores y que tenga
 origen en un exploit que no se haya detectado, que no se haya corregido
 y que esté siendo aprovechado en este mismo momento.
 
 El vector de ataque o es robo de información o es la utilización de un
 red personal de 25.000 servidores para negocios propios, sea al nivel
 que sea.

No. Eso son las consecuencias. 

El vector de ataque es cómo se accede a esos recursos/servidor y que 
puede ser por despiste del usuario al pulsar en un enlace del navegador, 
un administrador que no actualiza sus servicios y aplicaciones lo cual es 
aprovechado para el acceso, un exploit/bug en el código de una 
aplicación, o que te descargues de una página web una versión de openssh 
troyanizada y la instales tan ricamente, etc...

 Nada de eso dice el informe porque nada de eso ha pasado.
 
 Repito: tu no te has leido el informe ni los links que te envié. De los
 exploits se tiene concimiento desde el 2013 y de otro del 2012.

Pues eso te estoy diciendo, que no se trata de nada nuevo. 

Ni tampoco me sorprende, no será la primera vez que digo que la seguridad 
de un sistema operativo no depende únicamente del sistema sino de quien 
lo administra. Que prefiero un windows bien administrado que un linux 
gestionado por algún despreocupado.

 Pues vaya churro de informe si en 69 páginas no es capaz de analizar
 con pelos y señales la información que están exponiendo. Si después de
 69 páginas tengo que ir a buscar datos básicos a otro lado entonces no
 se trata de un informe técnico sino de un simple panfleto.
 
 Búscame un informe técnico de una empresa comercial que esté denunciando
 un hecho así y te dé pelos y señales del como, cuando y demás: ninguna.
 Lo he expuesto en un correo anterior.

Las palabras informe técnico y empresa comercial no casan del todo 
bien. De hecho, cada vez tengo la sensación de que no es más que otro FUD 
patrocinado por ESET para atraer a esos administradores remolones y 
miedosos con pocos conocimientos técnicos que han sido víctimas del 
súperataque.

 Pero vamos a ver... si tengo las claves y soy dueño del sistema,
 instalar un backdoor ¡es lo de menos!, lo que hago es dejar corriendo
 un rm recursivo en segundo plano y santas pascuas.
 
 
 ¿Un rm recursivo en segundo plano?? ¿Te está cachondeando verdad?? Hasta
 mi hijo vé eso :))

Lo del segundo plano es sólo para que el comando siga ejecutándose cuando 
cierre la sesión SSH, no para ofuscarlo ;-)

 ¿No conocías páginas con este tipo de información? Pues las hay desde
 hace años ya...

 http://hostexploit.com/
 
 ¿hostexploit.com?? ¿Estás de broma?? Si estos son peores que los de ESET
 :)).

No, no es broma, y como esa paǵina hay unas cuentas mas dedicadas a 
servidores de hosting que han sido víctimas de ese tipo de ataques.

 El spam ha dejado de ser negocio ...

 Que vaya a menos (con la entrada de los smartphones ahora existen otras
 formas de ganar dinero fácil... y hasta legalmente) no quiere decir que
 deje de ser un negocio. Y además es de los más rentable porque la
 inversión inicial es mínima.
 
 De rentable, nada: su ROI es exponencialmente inferior al 50% de su
 inversión inicial ..
 
 la prueba la tienes en que: ¿que última red de generación de spam
 conoces? Porque la última que existió con algo de repercusión se los
 cargaron en 2011 ..

Si no fuera negocio no tendrías un sistema antispam colocado en tus 
servidores, ni existirían soluciones (algunas con precios prohibitivos) 
para acabar con él. Que tú no veas spam en tu bandeja del sistema 
significa que esas soluciones antispam funcionan y son necesarias. ¿O 
acaso te atreverías a desactivar por un día los filtros antispam de tus 
servidores de correo? :-)

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.22.16.09...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Sat, 22 Mar 2014 16:00:45 +, carlopmart escribió:

 On 03/22/2014 03:53 PM, Camaleón wrote:

(...)

 Permitidme la expresión: estoy alucinando con vosotros. Pero vamos a
 ver: ¿que empresa COMERCIAL que se dedique a temas de seguridad
 (antivirus, firewall, IDP, etc.) os creeis que os van a mostrar sus
 procedimientos de information gathering? Ya te lo indico yo: ninguna.

(...)

 Pues no sé cómo decirlo suavemente... ¡venga ya! :-/
 
 ¿Y yo que he dicho en ese mismo email: Un último punto: si se trata de
 una farsa, ESET sabrá. Publicando informes como ese, una empresa se
 juega el prestigio, aka $$$. Una cosa así los hunde en la miseria como
 se demuestre que es mentira. ¿Que quieren venderte su antivirus?. Obvio:
 no son una ONG???

No creo que se trate de ninguna farsa pero sí de una estrategia comercial 
para atraer clientela, nada más. Vamos, hacer negocio fácil aprovechando 
el desconocimiento de los usuarios/administradores.

 Las recomendaciones y buenas prácticas en la administración de sistemas
 llevan años disponibles para descargar libremente desde distintas
 asociaciones (SANS Institute¹ entre ellas), si alguien no las quiere
 leer es problema suyo pero desde luego nada que se pueda catalogar de
 hecatombe salvo que los intereses sean otros.


 ¿Que hecatombe? Lo único que es dicho es que es bastante grave si están
 más de 25.000 servidores, y remarco lo de servidores, involucrados ...
 Ni Sutxnet llegó a esas cifras ...

Es uno de los ataques más serios después del APT1... has dicho ;-)

 Ahora dime tú un ataque en el que se puedan haber vulnerado más de
 25.000 servidores en los últimos meses ...
 
 ¿Me explico ahora?

Que 25.000 servidores NO es nada. ¿O acaso eres de los que piensa que 
linux no tiene bugs, es inexpugnable, etc..?

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.22.16.14...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.


On 03/22/2014 04:09 PM, Camaleón wrote:

El Sat, 22 Mar 2014 15:38:01 +, carlopmart escribió:


On 03/22/2014 02:52 PM, Camaleón wrote:


(...)


¿Como han entrado en los servers?: pues te lo están diciendo en la
página 16. Robo de contraseñas.


Robos de contraseñas se producen desde hace 20 años en todos los
sistemas operativos y nadie ha puesto el grito en el cielo por eso. La
gravedad de ese robo de contraseñas sería si el vector de ataque para
que se produzca sea inadvertido a los administradores y que tenga
origen en un exploit que no se haya detectado, que no se haya corregido
y que esté siendo aprovechado en este mismo momento.


El vector de ataque o es robo de información o es la utilización de un
red personal de 25.000 servidores para negocios propios, sea al nivel
que sea.


No. Eso son las consecuencias.

El vector de ataque es cómo se accede a esos recursos/servidor y que
puede ser por despiste del usuario al pulsar en un enlace del navegador,
un administrador que no actualiza sus servicios y aplicaciones lo cual es
aprovechado para el acceso, un exploit/bug en el código de una
aplicación, o que te descargues de una página web una versión de openssh
troyanizada y la instales tan ricamente, etc...


¿Y te sigue sin quedar claro entonces el vector de ataque?



Pues vaya churro de informe si en 69 páginas no es capaz de analizar
con pelos y señales la información que están exponiendo. Si después de
69 páginas tengo que ir a buscar datos básicos a otro lado entonces no
se trata de un informe técnico sino de un simple panfleto.


Búscame un informe técnico de una empresa comercial que esté denunciando
un hecho así y te dé pelos y señales del como, cuando y demás: ninguna.
Lo he expuesto en un correo anterior.


Las palabras informe técnico y empresa comercial no casan del todo
bien. De hecho, cada vez tengo la sensación de que no es más que otro FUD
patrocinado por ESET para atraer a esos administradores remolones y
miedosos con pocos conocimientos técnicos que han sido víctimas del
súperataque.


Ok a eso. De hecho no suelen casar en el 99% de los casos ... Lo del FUD 
se demostrará en los próximos días.





Pero vamos a ver... si tengo las claves y soy dueño del sistema,
instalar un backdoor ¡es lo de menos!, lo que hago es dejar corriendo
un rm recursivo en segundo plano y santas pascuas.



¿Un rm recursivo en segundo plano?? ¿Te está cachondeando verdad?? Hasta
mi hijo vé eso :))


Lo del segundo plano es sólo para que el comando siga ejecutándose cuando
cierre la sesión SSH, no para ofuscarlo ;-)


un backdoor es un trasto algo más sofisticado que implica per se 
ofuscación ..





¿No conocías páginas con este tipo de información? Pues las hay desde
hace años ya...

http://hostexploit.com/


¿hostexploit.com?? ¿Estás de broma?? Si estos son peores que los de ESET
:)).


No, no es broma, y como esa paǵina hay unas cuentas mas dedicadas a
servidores de hosting que han sido víctimas de ese tipo de ataques.



Las únicas listas free creíbles y confiables a dia de hoy son las de 
Zeustracker y dshield ... pocas más.



El spam ha dejado de ser negocio ...


Que vaya a menos (con la entrada de los smartphones ahora existen otras
formas de ganar dinero fácil... y hasta legalmente) no quiere decir que
deje de ser un negocio. Y además es de los más rentable porque la
inversión inicial es mínima.


De rentable, nada: su ROI es exponencialmente inferior al 50% de su
inversión inicial ..

la prueba la tienes en que: ¿que última red de generación de spam
conoces? Porque la última que existió con algo de repercusión se los
cargaron en 2011 ..


Si no fuera negocio no tendrías un sistema antispam colocado en tus
servidores, ni existirían soluciones (algunas con precios prohibitivos)
para acabar con él. Que tú no veas spam en tu bandeja del sistema
significa que esas soluciones antispam funcionan y son necesarias. ¿O
acaso te atreverías a desactivar por un día los filtros antispam de tus
servidores de correo? :-)


Pues mira sí, lo he hehco, no es broma. Resultado: 1 correo de spam en 8 
días ... Cierto es que en mi empresa el control del email es estricto y 
además nos permiten cacharrear .. Pero vamos a la realidad: en el 
cliente que actualmente estoy, reciben un promedio del 1% de spam al 
día, según el IronPort (de lo mejor comercialmente hablando) ...


Pero vamos que a lo que me refiero es que se seguirá tratando de 
spamear, pero que ya ha dejado de ser un negocio real. Por ejemplo para 
la RBN era su principal forma de obtener beneficios. Ahora los es el 
malware ..


Saludos.


--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/532db85f.7010...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.


On 03/22/2014 04:14 PM, Camaleón wrote:

El Sat, 22 Mar 2014 16:00:45 +, carlopmart escribió:


On 03/22/2014 03:53 PM, Camaleón wrote:


(...)


¿Y yo que he dicho en ese mismo email: Un último punto: si se trata de
una farsa, ESET sabrá. Publicando informes como ese, una empresa se
juega el prestigio, aka $$$. Una cosa así los hunde en la miseria como
se demuestre que es mentira. ¿Que quieren venderte su antivirus?. Obvio:
no son una ONG???


No creo que se trate de ninguna farsa pero sí de una estrategia comercial
para atraer clientela, nada más. Vamos, hacer negocio fácil aprovechando
el desconocimiento de los usuarios/administradores.


Eso es lo mismo.




Las recomendaciones y buenas prácticas en la administración de sistemas
llevan años disponibles para descargar libremente desde distintas
asociaciones (SANS Institute¹ entre ellas), si alguien no las quiere
leer es problema suyo pero desde luego nada que se pueda catalogar de
hecatombe salvo que los intereses sean otros.



¿Que hecatombe? Lo único que es dicho es que es bastante grave si están
más de 25.000 servidores, y remarco lo de servidores, involucrados ...
Ni Sutxnet llegó a esas cifras ...


Es uno de los ataques más serios después del APT1... has dicho ;-)


Si, y lo és si se confirma.




Ahora dime tú un ataque en el que se puedan haber vulnerado más de
25.000 servidores en los últimos meses ...

¿Me explico ahora?


Que 25.000 servidores NO es nada. ¿O acaso eres de los que piensa que
linux no tiene bugs, es inexpugnable, etc..?


Bien si no es nada, dime un ataque superior a ese en estos últimos meses ...

¿Porque insisto en esto? Porque un cosa es tener una botnet de millones 
de estaciones windows y/o linux y otra muy distinta es tener bajo tu 
control servidores, que además habría que ver si son solo hosting o no ..





--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/532db953.5040...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Sat, 22 Mar 2014 16:20:47 +, carlopmart escribió:

 On 03/22/2014 04:09 PM, Camaleón wrote:

(...)

 El vector de ataque o es robo de información o es la utilización de un
 red personal de 25.000 servidores para negocios propios, sea al
 nivel que sea.

 No. Eso son las consecuencias.

 El vector de ataque es cómo se accede a esos recursos/servidor y que
 puede ser por despiste del usuario al pulsar en un enlace del
 navegador, un administrador que no actualiza sus servicios y
 aplicaciones lo cual es aprovechado para el acceso, un exploit/bug en
 el código de una aplicación, o que te descargues de una página web una
 versión de openssh troyanizada y la instales tan ricamente, etc...
 
 ¿Y te sigue sin quedar claro entonces el vector de ataque?

(...)

Lo dicen veladamente en la página 66 de un informe de 69 páginas: han 
accedido a los sistemas mediante el robo de claves (robo que puede 
haberse perpetrado desde un ataque de diccionario a los servidores 
afectados, un acceso por no tener definido la contraseña de administrador 
o ser una contraseña sencilla, un postit mal colocado en la pantalla o 
vaya usted a saber).

Una vez dentro, han instalado/reemplazado una versión de openssh 
troyanizada para poder hacer uso de los recursos del servidor a su antojo 
y han instalado un bot encargado de enviar spam. Y fin de la historia.

Por cierto, uno de los componentes clave del entramado (linux/ebury) se 
encuentra *mil veces* mejor explicado aquí:

https://www.cert-bund.de/ebury-faq

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.22.16.54...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Sat, 22 Mar 2014 16:24:51 +, carlopmart escribió:

 On 03/22/2014 04:14 PM, Camaleón wrote:

(...)

 No creo que se trate de ninguna farsa pero sí de una estrategia
 comercial para atraer clientela, nada más. Vamos, hacer negocio fácil
 aprovechando el desconocimiento de los usuarios/administradores.
 
 Eso es lo mismo.

No, no es lo mismo. 

Una farsa implica falsedad en algún dato y nada de eso ocurre, los datos 
son reales, el malware existe y los servidores infectados ahí están. 

El autobombo, el tono de FUD y el escaso detalle técnico del informe 
juegan con la falta de conocimientos de los administradores que pensarán 
en instalar alguna solución de ESET para estar protegidos en el futuro. 

 Las recomendaciones y buenas prácticas en la administración de
 sistemas llevan años disponibles para descargar libremente desde
 distintas asociaciones (SANS Institute¹ entre ellas), si alguien no
 las quiere leer es problema suyo pero desde luego nada que se pueda
 catalogar de hecatombe salvo que los intereses sean otros.


 ¿Que hecatombe? Lo único que es dicho es que es bastante grave si
 están más de 25.000 servidores, y remarco lo de servidores,
 involucrados ... Ni Sutxnet llegó a esas cifras ...

 Es uno de los ataques más serios después del APT1... has dicho ;-)
 
 Si, y lo és si se confirma.
 
 
 Ahora dime tú un ataque en el que se puedan haber vulnerado más de
 25.000 servidores en los últimos meses ...

 ¿Me explico ahora?

 Que 25.000 servidores NO es nada. ¿O acaso eres de los que piensa que
 linux no tiene bugs, es inexpugnable, etc..?
 
 Bien si no es nada, dime un ataque superior a ese en estos últimos meses
 ...

Son 25.000 servidores infectados en los últimos 1/2 años. ¿De verdad te 
parece mucho?

 ¿Porque insisto en esto? Porque un cosa es tener una botnet de millones
 de estaciones windows y/o linux y otra muy distinta es tener bajo tu
 control servidores, que además habría que ver si son solo hosting o no

Pero si sólo los usan para mandar spam... y no sé por qué ya que (y cito 
tus palabras) no es rentable ;-)

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.22.17.04...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-22 Por tema consultor

On 03/22/2014 06:56 AM, carlopmart wrote:
 On 03/21/2014 10:53 PM, consultor wrote:
 On 03/21/2014 08:56 AM, Camaleón wrote:
 El Fri, 21 Mar 2014 15:40:16 +, C. L. Martinez escribió:

 2014-03-21 15:30 GMT+00:00 Camaleón noela...@gmail.com:

 (...)

 Pues la noticia/informe de ESET sigue aparecer en los medios IT, ni en
 los boletines de seguridad a los que estoy suscrita, me parece que le
 han querido dar mucho bombo a algo que no lo tiene, quizá porque todo
 lo que lleve en la misma frase linux y vulnerable venda más.

 Pues es noticia en portales IT:

 http://it-beta.slashdot.org/story/14/03/18/2218237/malware-attack-
 infected-25000-linuxunix-servers
 http://www.welivesecurity.com/2014/03/18/attack-unix-operation-windigo/
 http://www.welivesecurity.com/wp-content/uploads/2014/03/
 operation_windigo.pdf
 https://news.ycombinator.com/item?id=7426994
 http://thehackernews.com/2014/03/operation-windigo-linux-malware.html
 

 (...)

 No tengo ninguna referencia en los RSS de seguridad que sigo, entre
 otros: securityfocus, una-al-día y uscert. Nada.

 Busca en google por operation windigo

 Sí, lo sé, y todos están un poco perdidos y te dirigen al estudio de
 ESET
 por lo que o una de dos, o tampoco han logrado entender de qué va la
 cosa
 o le están haciendo caja a ESET ;-)

 Saludos,


 Yo tengo la impresion de que se trata de una farsa; basta ver el
 lenguaje impreciso que usan! En ningun documento, explican con claridad
 lo que sugieren. En el doc en Castellano, dicen palabras de paso y en
 Ingles dicen Credenciales, que es generico. Ademas, ESET es quien
 promueve el uso de antivirus y anti-malware en Windows!

 
 Permitidme la expresión: estoy alucinando con vosotros. Pero vamos a
 ver: ¿que empresa COMERCIAL que se dedique a temas de seguridad
 (antivirus, firewall, IDP, etc.) os creeis que os van a mostrar sus
 procedimientos de information gathering? Ya te lo indico yo: ninguna.
 
 Pero hombre, seamos serios. Existe una cosita que se llama Threat
 Intelligence que si buscas por google ya te va a dar muchas pistas de
 las técnicas que se utilizan y es más tienes a tu disposición
 herramientas opensource para poder hacer lo mismo que ha hecho ESET para
 conseguir la info, añadiendo más herramientas como SIEM's, HIDS, etc.
 
 Documentación imprecisa: lo mismo. ¿Que esperáis un tutorial en le que
 os digan primero he hecho un nmap a este rangos de IP's, después he
 ejecutado Hydra para la adquisición de passwords, tercero he ...? Pues
 no lo esperies: no os lo van a dar.
 
 Si os pica la curiosidad tenéis dos opciones: os lo trabajais vosotros
 buscando info o os apuntáis a un curso del SANS, offensive-security o el
 que más os guste y os lo explican ... Que tampoco estamos hablando de
 información de la CIA señores :))
 
 Y un consejo: el informe que siempre vale es el redactado en inglés y
 ahí siempre te hablan de robo de paswords, que por otro lado consultor,
 quedan englobadas en un procedimiento de credenciales, porque para
 empezar puden estar incluidas un procedimeinto de autenticación de doble
 factor ...
 
 Y por cierto, si dices que has utilizado BackTrack parece mentira lo que
 estás diciendo. Tanto en BackTrack como en kali tienes las tools
 necesarias ...
 
 Un último punto: si se trata de una farsa, ESET sabrá. Publicando
 informes como ese, una empresa se juega el prestigio, aka $$$. Una cosa
 así los hunde en la miseria como se demuestre que es mentira. ¿Que
 quieren venderte su antivirus?. Obvio: no son una ONG. Pero permíteme
 que te diga: un problema como el descrito solo te lo detecta un HIDS en
 su fase inicial (ni antivirus ni leches. Te lo dice uno que no usa
 antivirus en sus Windows hace años) y ESET no tiene HIDS para Unix hasto
 donde yo sé, pero no te lo aseguro. La única empresa antivirus comercial
 con un HIDS contrastado es TrendMicro con OSSEC.
 
 Saludos.

Carlopmart, lo que digo es; que la primera forma de intrusion, es por
fueza bruta y/o husmendo palabras de paso en claro; se que eso se hace
con muchas herramientas. Pero usamos ese metodo los Admin?

Pero, como dijo Camaleon; por que no empiezan diciendo eso? al decirlo
se le quita lo propagandistico! Entendes?

Por que cualquiera sabe, que si logras nivel de raiz, podes hacer lo que
se te antoje; no hay misterio en eso!

Por eso digo que es una farsa! No es por lo tecnico, es como redactan la
informacion.

hasta luego.





signature.asc
Description: OpenPGP digital signature

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-22 Por tema Jose Maldonado

El 22/03/14 10:22, Camaleón escribió:
 Las malas prácticas en la administración de sistemas siempre han existido 
 y existirán, como sucede en otros sectores, pero de ahí a catalogar ese 
 informe como el big bang de la informática y entenderlo de carácter 
 crítico va un largo trecho. Lo único que hace ese informe de ESET es 
 recopilar una serie de datos de sistemas que han sido vulnerados (nada 
 nuevo) por una mala administración (nada nuevo) y malas prácticas en la 
 seguridad de los sistemas (de nuevo, nada nuevo...).

Camaleon trata de explicarle esto que dices a un grupo de newbies (en
Facebook abundan) recien llegados de Windows y cuyo mayor logro en SL es
instalarse Ubuntu usando un video tutorial, y te aseguro que tendrás los
peores días de tu vida.

-- 
Dios en su Cielo, todo bien en la Tierra
*



signature.asc
Description: OpenPGP digital signature

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-22 Por tema Felix Perez

El día 22 de marzo de 2014, 23:17, Jose Maldonado
josemal...@gmail.com escribió:
 El 22/03/14 10:22, Camaleón escribió:
 Las malas prácticas en la administración de sistemas siempre han existido
 y existirán, como sucede en otros sectores, pero de ahí a catalogar ese
 informe como el big bang de la informática y entenderlo de carácter
 crítico va un largo trecho. Lo único que hace ese informe de ESET es
 recopilar una serie de datos de sistemas que han sido vulnerados (nada
 nuevo) por una mala administración (nada nuevo) y malas prácticas en la
 seguridad de los sistemas (de nuevo, nada nuevo...).

 Camaleon trata de explicarle esto que dices a un grupo de newbies (en
 Facebook abundan) recien llegados de Windows y cuyo mayor logro en SL es
 instalarse Ubuntu usando un video tutorial, y te aseguro que tendrás los
 peores días de tu vida.


Interesante debate técnico informático generado por una publicación de
marketing.

Ahora como diríamos en mi país, por Camaleón y Carlopmart, Puta los
huevones pesados.  Lo que me lleva a la reflexión y pregunta ¿Se
puede concluir algo cuando dos interlocutores creen poseer la verdad
absoluta?

Yo aquí veo marketing puro y duro, que muestra un problema real de
seguridad, pues si, pero no creo que aporte demasiado a los sysadmin
expertos, bien formados o que realizan bien su trabajo.

No se porqué pero la publicación y el debate generado, me recordó un
documental acerca de la gripe aviar y de todos los supuestos daños que
provocaría la pandemia, pero resulta que conversando con personal de
salud, estos me señalaron que si la población tomaba como resguardos
taparse la boca al estornudar y el lavado frecuente de manos, los
riesgos de contagio disminuían considerablemente en población sin
vacunar.  Aquí ESET estaría publicando el documental y promoviendo la
vacunación los sysadmin es el personal de salud que sabe que hacer.

Saludos.



-- 
usuario linux  #274354
normas de la lista:  http://wiki.debian.org/es/NormasLista
como hacer preguntas inteligentes:
http://www.sindominio.net/ayuda/preguntas-inteligentes.html


--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: 
https://lists.debian.org/caaizax4yd6bapub7i+16wqdcektgxt_6vsbzrirz2mcnz6f...@mail.gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-21 Por tema C. L. Martinez

2014-03-20 16:04 GMT+00:00 Camaleón noela...@gmail.com:
El Thu, 20 Mar 2014 15:34:52 +, C. L. Martinez escribió:

2014-03-20 15:25 GMT+00:00 Camaleón noela...@gmail.com:

(...)

A ver, si empezamos a pensar mal: tengo a mi disposición más de 25.000
servidores para empezar a amargar la vida a alguien, sacarle
información a alguien, etc ... Empieza a hacer volar tu imaginación o
conectate a la red Tor.

Sigamos pensando mal... Yo tengo *millones* de ordenadores-zombi
windows que puedo usar para lo que plazca, por ejemplo, ponerlos a
minar bitcoins O:-)

Uhmm ... No es lo mismo, al menos desde mi punto de vista. Cuando
vulneras a un servidor automáticamente se pone a tu servicio cierto tipo
de información que una workstation no te dá. Y aquí dá igual de si
hablamos de servidores Unix, Windows, Mac o lo que sea. Se pone a tu
alcance un volumen de información muy muy importante.

(...)

Yo creo que, desde el punto de vista de un cracker, la información más
jugosa (como puede ser los números de tarjetas de crédito, claves de
licencias de programas, etc... es decir, datos con los que pueden
comercializar) se encuentra en clientes y estaciones de trabajo más que
en los servidores.

Uhmm .. error. El objetivo bueno de verdad siempre son los servidores
(bien de dept. de I+D, empresas financieras, etc.). Lo que sucede es
que es más sencillo vulnerar una estación de trabajo y utilizarla como
infanteria .. Pero el objetivo real, siempre son los servidores (a
fin de cuentas son los que tienen la info jugosa).

Y lo digo más que nada porque algo me dice que esos más de 25.000
servidores vulnerados son en una gran mayoría equipos de hospedaje
compartido y/o equipos de usuarios particulares que se montan un servidor
en su casa, ya que en ambos escenarios se es más proclive a instalar
aplicaciones de más y donde se descuida la seguridad y el entorno en pro
de una gestión más sencilla (y masiva) con uso de plantillas
generalizadas de los servicios.

Uhmm .. Pues por el tipo de desarrollo que han hecho, y como comenté
anteriormente, me chirria y mucho que solo fuese el objetivo final la
generación de spam (eso ya nos un negocio boyante como fue en su dia).
Piensa una cosa: me és dificil de creer que no haya caido en sus manos
servidores de Amazon AWS, o de algún tipo de servicio cloud de
relevancia, y por ahí no andan los home users

La información que podría ser valiosa (información de empresas) no la
verás en servidores conectados a Internet con las características y
configuraciones como las presentadas en el informe de ESET.

¿Que no?? No puedo dar nombres, pero alucinarías con lo que he llegado
a ver publicado en ciertos servers ... En este país (España) seguridad
IT y productividad no van cogidas de la mano ..Vuelvo a remitirme al
administrador chapucero (que algunos lo serán por culpa de sus jefes,
pero la mayoría es que no dan más de sí ... Los buenos se nos están
pirando a Alemania y paises Nórdicos para desgracia nuestra :))

Saludos.

--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive:
https://lists.debian.org/caejqa5jpes4vf1i7deeqhtrmecjyqky9uusxlmqqr6uxx4z...@mail.gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Fri, 21 Mar 2014 06:43:47 +, C. L. Martinez escribió:

 2014-03-20 16:04 GMT+00:00 Camaleón noela...@gmail.com:

(...)

 Yo creo que, desde el punto de vista de un cracker, la información
 más jugosa (como puede ser los números de tarjetas de crédito, claves
 de licencias de programas, etc... es decir, datos con los que pueden
 comercializar) se encuentra en clientes y estaciones de trabajo más que
 en los servidores.
 
 Uhmm .. error. El objetivo bueno de verdad siempre son los servidores
 (bien de dept. de I+D, empresas financieras, etc.). Lo que sucede es que
 es más sencillo vulnerar una estación de trabajo y utilizarla como
 infanteria .. Pero el objetivo real, siempre son los servidores (a fin
 de cuentas son los que tienen la info jugosa).

No lo creo, no al menos en este caso. 

Verás, como te he dicho antes los servidores de empresas que contienen 
datos sensibles no están configurados para ser vulnerables a este tipo de 
ataques simplones (robo de contraseña). Ataques de este tipo de dirigen 
a servidores de hospedaje y poco más. 

Los ataques serios dirigidos contra empresas para robo de datos de valor 
son mucho más refinados (tipo el Stuxnet que comentabas antes) y no se 
oyen/leen apenas en las noticias ;-)

 Y lo digo más que nada porque algo me dice que esos más de 25.000
 servidores vulnerados son en una gran mayoría equipos de hospedaje
 compartido y/o equipos de usuarios particulares que se montan un
 servidor en su casa, ya que en ambos escenarios se es más proclive a
 instalar aplicaciones de más y donde se descuida la seguridad y el
 entorno en pro de una gestión más sencilla (y masiva) con uso de
 plantillas generalizadas de los servicios.
 
 Uhmm .. Pues por el tipo de desarrollo que han hecho, y como comenté
 anteriormente, me chirria y mucho que solo fuese el objetivo final la
 generación de spam (eso ya nos un negocio boyante como fue en su dia).
 Piensa una cosa: me és dificil de creer que no haya caido en sus manos
 servidores de Amazon AWS, o de algún tipo de servicio cloud de
 relevancia, y por ahí no andan los home users 

Pues la noticia/informe de ESET sigue aparecer en los medios IT, ni en 
los boletines de seguridad a los que estoy suscrita, me parece que le han 
querido dar mucho bombo a algo que no lo tiene, quizá porque todo lo que 
lleve en la misma frase linux y vulnerable venda más.

 La información que podría ser valiosa (información de empresas) no la
 verás en servidores conectados a Internet con las características y
 configuraciones como las presentadas en el informe de ESET.


 ¿Que no?? No puedo dar nombres, pero alucinarías con lo que he llegado a
 ver publicado en ciertos servers ... En este país (España) seguridad IT
 y productividad no van cogidas de la mano ..Vuelvo a remitirme al
 administrador chapucero (que algunos lo serán por culpa de sus jefes,
 pero la mayoría es que no dan más de sí ... Los buenos se nos están
 pirando a Alemania y paises Nórdicos para desgracia nuestra :))

Pero tú estás hablando de administradores de PYMES españolas que se 
instalan en sus servidores Dell la última versión de cualquier cliente 
Bittorrent y hombre, esos no cuentan. Yo te estoy hablando de 
administradores de empresas serias, de las que pueden perder mucho dinero 
y credibilidad, vamos, de las de verdad ;-)

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.21.15.31...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-21 Por tema C. L. Martinez

2014-03-21 15:30 GMT+00:00 Camaleón noela...@gmail.com:
El Fri, 21 Mar 2014 06:43:47 +, C. L. Martinez escribió:

2014-03-20 16:04 GMT+00:00 Camaleón noela...@gmail.com:

(...)

Yo creo que, desde el punto de vista de un cracker, la información
más jugosa (como puede ser los números de tarjetas de crédito, claves
de licencias de programas, etc... es decir, datos con los que pueden
comercializar) se encuentra en clientes y estaciones de trabajo más que
en los servidores.

Uhmm .. error. El objetivo bueno de verdad siempre son los servidores
(bien de dept. de I+D, empresas financieras, etc.). Lo que sucede es que
es más sencillo vulnerar una estación de trabajo y utilizarla como
infanteria .. Pero el objetivo real, siempre son los servidores (a fin
de cuentas son los que tienen la info jugosa).

No lo creo, no al menos en este caso.

Verás, como te he dicho antes los servidores de empresas que contienen
datos sensibles no están configurados para ser vulnerables a este tipo de
ataques simplones (robo de contraseña). Ataques de este tipo de dirigen
a servidores de hospedaje y poco más.

Los ataques serios dirigidos contra empresas para robo de datos de valor
son mucho más refinados (tipo el Stuxnet que comentabas antes) y no se
oyen/leen apenas en las noticias ;-)

Ejem ... Disiento y por experiencias propias ... Te diré una cosa:
Africa empieza en los Pirineos ... y no tengo nada contra África.

Y lo digo más que nada porque algo me dice que esos más de 25.000
servidores vulnerados son en una gran mayoría equipos de hospedaje
compartido y/o equipos de usuarios particulares que se montan un
servidor en su casa, ya que en ambos escenarios se es más proclive a
instalar aplicaciones de más y donde se descuida la seguridad y el
entorno en pro de una gestión más sencilla (y masiva) con uso de
plantillas generalizadas de los servicios.

Pues la noticia/informe de ESET sigue aparecer en los medios IT, ni en
los boletines de seguridad a los que estoy suscrita, me parece que le han
querido dar mucho bombo a algo que no lo tiene, quizá porque todo lo que
lleve en la misma frase linux y vulnerable venda más.

Pues es noticia en portales IT:

http://it-beta.slashdot.org/story/14/03/18/2218237/malware-attack-infected-25000-linuxunix-servers
http://www.welivesecurity.com/2014/03/18/attack-unix-operation-windigo/
http://www.welivesecurity.com/wp-content/uploads/2014/03/operation_windigo.pdf
https://news.ycombinator.com/item?id=7426994
http://thehackernews.com/2014/03/operation-windigo-linux-malware.html

Busca en google por operation windigo

¿Que no?? No puedo dar nombres, pero alucinarías con lo que he llegado a
ver publicado en ciertos servers ... En este país (España) seguridad IT
y productividad no van cogidas de la mano ..Vuelvo a remitirme al
administrador chapucero (que algunos lo serán por culpa de sus jefes,
pero la mayoría es que no dan más de sí ... Los buenos se nos están
pirando a Alemania y paises Nórdicos para desgracia nuestra :))

Pero tú estás hablando de administradores de PYMES españolas que se
instalan en sus servidores Dell la última versión de cualquier cliente
Bittorrent y hombre, esos no cuentan. Yo te estoy hablando de
administradores de empresas serias, de las que pueden perder mucho dinero
y credibilidad, vamos, de las de verdad ;-)

Te hablo de administradores de TODO tipo de empresas ... Hasta en esas
empresas de las que hablas, están ..

--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive:
https://lists.debian.org/CAEjQA5L3KPUoMTG2H2GZhGa=p_ogc2l5paasxnvcqirzzpp...@mail.gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Fri, 21 Mar 2014 15:40:16 +, C. L. Martinez escribió:

 2014-03-21 15:30 GMT+00:00 Camaleón noela...@gmail.com:

(...)

 Pues la noticia/informe de ESET sigue aparecer en los medios IT, ni en
 los boletines de seguridad a los que estoy suscrita, me parece que le
 han querido dar mucho bombo a algo que no lo tiene, quizá porque todo
 lo que lleve en la misma frase linux y vulnerable venda más.
 
 Pues es noticia en portales IT:
 
 http://it-beta.slashdot.org/story/14/03/18/2218237/malware-attack-
infected-25000-linuxunix-servers
 http://www.welivesecurity.com/2014/03/18/attack-unix-operation-windigo/
 http://www.welivesecurity.com/wp-content/uploads/2014/03/
operation_windigo.pdf
 https://news.ycombinator.com/item?id=7426994
 http://thehackernews.com/2014/03/operation-windigo-linux-malware.html
 

(...)

No tengo ninguna referencia en los RSS de seguridad que sigo, entre 
otros: securityfocus, una-al-día y uscert. Nada.
 
 Busca en google por operation windigo

Sí, lo sé, y todos están un poco perdidos y te dirigen al estudio de ESET 
por lo que o una de dos, o tampoco han logrado entender de qué va la cosa 
o le están haciendo caja a ESET ;-)

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.21.15.57...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.


On 03/21/2014 03:56 PM, Camaleón wrote:

El Fri, 21 Mar 2014 15:40:16 +, C. L. Martinez escribió:


2014-03-21 15:30 GMT+00:00 Camaleón noela...@gmail.com:


(...)


Pues la noticia/informe de ESET sigue aparecer en los medios IT, ni en
los boletines de seguridad a los que estoy suscrita, me parece que le
han querido dar mucho bombo a algo que no lo tiene, quizá porque todo
lo que lleve en la misma frase linux y vulnerable venda más.


Pues es noticia en portales IT:

http://it-beta.slashdot.org/story/14/03/18/2218237/malware-attack-

infected-25000-linuxunix-servers

http://www.welivesecurity.com/2014/03/18/attack-unix-operation-windigo/
http://www.welivesecurity.com/wp-content/uploads/2014/03/

operation_windigo.pdf

https://news.ycombinator.com/item?id=7426994
http://thehackernews.com/2014/03/operation-windigo-linux-malware.html



(...)

No tengo ninguna referencia en los RSS de seguridad que sigo, entre
otros: securityfocus, una-al-día y uscert. Nada.


uhmm .. Te recomiendo que actulices tus RSS a nivel de seguridad. 
SecurityFocus hace mucho tiempo que dejó de ser referente, una al dia 
llega con dias de retraso respecto a muchas noticias (han perdido 
bastante punch desde que marchó su fundador a Google junto con un par de 
colaboradores) y del uscert yo si tengo un correo del mismo día en que 
salió la noticia.






Busca en google por operation windigo


Sí, lo sé, y todos están un poco perdidos y te dirigen al estudio de ESET
por lo que o una de dos, o tampoco han logrado entender de qué va la cosa
o le están haciendo caja a ESET ;-)


Perdidos?? No sé, muchos están bastante seguros y a algunos se les han 
puesto los webs de corbata :))


Saludos.


--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/532c7cc8.4030...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Fri, 21 Mar 2014 17:54:16 +, carlopmart escribió:

 On 03/21/2014 03:56 PM, Camaleón wrote:

(...)

 Pues es noticia en portales IT:

 http://it-beta.slashdot.org/story/14/03/18/2218237/malware-attack-
 infected-25000-linuxunix-servers
 http://www.welivesecurity.com/2014/03/18/attack-unix-operation-
windigo/
 http://www.welivesecurity.com/wp-content/uploads/2014/03/
 operation_windigo.pdf
 https://news.ycombinator.com/item?id=7426994
 http://thehackernews.com/2014/03/operation-windigo-linux-malware.html
 

 (...)

 No tengo ninguna referencia en los RSS de seguridad que sigo, entre
 otros: securityfocus, una-al-día y uscert. Nada.
 
 uhmm .. Te recomiendo que actulices tus RSS a nivel de seguridad.
 SecurityFocus hace mucho tiempo que dejó de ser referente, una al dia
 llega con dias de retraso respecto a muchas noticias (han perdido
 bastante punch desde que marchó su fundador a Google junto con un par de
 colaboradores) y del uscert yo si tengo un correo del mismo día en que
 salió la noticia.

Ya sé por dónde vas pero no cuela ;-)

Y del us-cert no tengo nada en el canal RSS ni en su web aparece:

http://search.us-cert.gov/search?utf8=%E2%9C%93affiliate=us-
certquery=windigocommit=Search

Vamos, que no, que ese estudio que se han sacado de la manga los de ESET 
me parece a mí que no han querido utilizar para darse un pelín de 
autobombo y poco más.

 Busca en google por operation windigo

 Sí, lo sé, y todos están un poco perdidos y te dirigen al estudio de
 ESET por lo que o una de dos, o tampoco han logrado entender de qué va
 la cosa o le están haciendo caja a ESET ;-)
 
 Perdidos?? No sé, muchos están bastante seguros y a algunos se les han
 puesto los webs de corbata :))

Perdidos en el sentido de que todos los artículos repiten lo mismo, es 
decir: nada. Te remiten al susodicho PDF y ahí se acaba todo. Y repito, 
que lo más importante de esas 69 páginas es la 66. Una página. 1 de 69. 
Ejem...

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.21.18.18...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.


On 03/21/2014 06:18 PM, Camaleón wrote:

El Fri, 21 Mar 2014 17:54:16 +, carlopmart escribió:


On 03/21/2014 03:56 PM, Camaleón wrote:


(...)


Pues es noticia en portales IT:

http://it-beta.slashdot.org/story/14/03/18/2218237/malware-attack-

infected-25000-linuxunix-servers

http://www.welivesecurity.com/2014/03/18/attack-unix-operation-

windigo/

http://www.welivesecurity.com/wp-content/uploads/2014/03/

operation_windigo.pdf

https://news.ycombinator.com/item?id=7426994
http://thehackernews.com/2014/03/operation-windigo-linux-malware.html



(...)

No tengo ninguna referencia en los RSS de seguridad que sigo, entre
otros: securityfocus, una-al-día y uscert. Nada.


uhmm .. Te recomiendo que actulices tus RSS a nivel de seguridad.
SecurityFocus hace mucho tiempo que dejó de ser referente, una al dia
llega con dias de retraso respecto a muchas noticias (han perdido
bastante punch desde que marchó su fundador a Google junto con un par de
colaboradores) y del uscert yo si tengo un correo del mismo día en que
salió la noticia.


Ya sé por dónde vas pero no cuela ;-)ç


einch?? Esto no lo pillo, sorry.



Y del us-cert no tengo nada en el canal RSS ni en su web aparece:

http://search.us-cert.gov/search?utf8=%E2%9C%93affiliate=us-
certquery=windigocommit=Search


Pues no lo sé, pero a mí el correo me llegó el miércoles ... La próxima 
vez te lo guardo, pero no seria la primera vez que publican algo via 
email y no en el canal RSS ...




Vamos, que no, que ese estudio que se han sacado de la manga los de ESET
me parece a mí que no han querido utilizar para darse un pelín de
autobombo y poco más.


No seré yo el que se ponga a defender a ESET, pero de las empresas de 
antivirus, es la única que tiene un poco de decencia ... Por que lo 
que lo és la fauna de symantec, mcafee y burros tecnológicos varios como 
estos, se dan autobombo como mínimo tres veces al año ..





Busca en google por operation windigo


Sí, lo sé, y todos están un poco perdidos y te dirigen al estudio de
ESET por lo que o una de dos, o tampoco han logrado entender de qué va
la cosa o le están haciendo caja a ESET ;-)


Perdidos?? No sé, muchos están bastante seguros y a algunos se les han
puesto los webs de corbata :))


Perdidos en el sentido de que todos los artículos repiten lo mismo, es
decir: nada. Te remiten al susodicho PDF y ahí se acaba todo. Y repito,
que lo más importante de esas 69 páginas es la 66. Una página. 1 de 69.
Ejem...



Hombre, ¿la 69, ejem, solo? Creo que no te lo has leido bien. Han 
desarrollado la parte del malware y demás ... No sé que esperabas que te 
explicasen ... De heco, explican más que otras muchas.


Coom dije anteriormente, puedes ver este tipo de cosas con una distro 
como Kali Linux



--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/532c855c.6030...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.


On 03/21/2014 06:30 PM, carlopmart wrote:

On 03/21/2014 06:18 PM, Camaleón wrote:

El Fri, 21 Mar 2014 17:54:16 +, carlopmart escribió:


On 03/21/2014 03:56 PM, Camaleón wrote:


(...)


Pues es noticia en portales IT:

http://it-beta.slashdot.org/story/14/03/18/2218237/malware-attack-

infected-25000-linuxunix-servers

http://www.welivesecurity.com/2014/03/18/attack-unix-operation-

windigo/

http://www.welivesecurity.com/wp-content/uploads/2014/03/

operation_windigo.pdf

https://news.ycombinator.com/item?id=7426994
http://thehackernews.com/2014/03/operation-windigo-linux-malware.html



(...)

No tengo ninguna referencia en los RSS de seguridad que sigo, entre
otros: securityfocus, una-al-día y uscert. Nada.


uhmm .. Te recomiendo que actulices tus RSS a nivel de seguridad.
SecurityFocus hace mucho tiempo que dejó de ser referente, una al dia
llega con dias de retraso respecto a muchas noticias (han perdido
bastante punch desde que marchó su fundador a Google junto con un par de
colaboradores) y del uscert yo si tengo un correo del mismo día en que
salió la noticia.


Ya sé por dónde vas pero no cuela ;-)ç


einch?? Esto no lo pillo, sorry.



Y del us-cert no tengo nada en el canal RSS ni en su web aparece:

http://search.us-cert.gov/search?utf8=%E2%9C%93affiliate=us-
certquery=windigocommit=Search


Pues no lo sé, pero a mí el correo me llegó el miércoles ... La próxima
vez te lo guardo, pero no seria la primera vez que publican algo via
email y no en el canal RSS ...



Vamos, que no, que ese estudio que se han sacado de la manga los de ESET
me parece a mí que no han querido utilizar para darse un pelín de
autobombo y poco más.


No seré yo el que se ponga a defender a ESET, pero de las empresas de
antivirus, es la única que tiene un poco de decencia ... Por que lo
que lo és la fauna de symantec, mcafee y burros tecnológicos varios como
estos, se dan autobombo como mínimo tres veces al año ..




Busca en google por operation windigo


Sí, lo sé, y todos están un poco perdidos y te dirigen al estudio de
ESET por lo que o una de dos, o tampoco han logrado entender de qué va
la cosa o le están haciendo caja a ESET ;-)


Perdidos?? No sé, muchos están bastante seguros y a algunos se les han
puesto los webs de corbata :))


Perdidos en el sentido de que todos los artículos repiten lo mismo, es
decir: nada. Te remiten al susodicho PDF y ahí se acaba todo. Y repito,
que lo más importante de esas 69 páginas es la 66. Una página. 1 de 69.
Ejem...



Hombre, ¿la 69, ejem, solo? Creo que no te lo has leido bien. Han
desarrollado la parte del malware y demás ... No sé que esperabas que te
explicasen ... De heco, explican más que otras muchas.

Coom dije anteriormente, puedes ver este tipo de cosas con una distro
como Kali Linux



Mira, y para cerrar el tema, aquí tienes info más detallada:

http://blog.sucuri.net/2013/01/server-side-iframe-injections-via-apache-modules-and-sshd-backdoor.html
http://blog.sucuri.net/2013/04/apache-binary-backdoors-on-cpanel-based-servers.html

No sé si es algo así lo que buscas como explicación ...


--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/532c86d5.4090...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-21 Por tema Roberto Quiñones

El mar 19, 2014 9:42 AM, Miguel Matos unefistano...@gmail.com escribió:

 A algunas personas quizás les haga llegado este mensaje, que por
 alguna razón, ya se ha colado en unos grupos. Dicho mensaje dice así:

 Hola,

 Echa un vistazo a estos accesorios que le envié a través de
 documentos. Para el acceso inmediato HAGA AQUÍ y firmar con su correo
 electrónico.

 Respetuosamente(...)

 Con pasar el usuario que lo envíe al spam no basta, mucho menos borrar
 dicho mensaje. Simplemente, será hacer caso omiso y eliminar el
 mensaje, puesto que no hay más opciones. Espero que la próxima no
 caigan en mensajes de dudosa procedencia. Ahí se las dejo.

 --
 Buen uso de las listas (como se ven en Debian):
 http://wiki.debian.org/es/NormasLista
 Ayuda para hacer preguntas inteligentes: http://is.gd/NJIwRz


 --
 To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
 with a subject of unsubscribe. Trouble? Contact
listmas...@lists.debian.org
 Archive:
https://lists.debian.org/calevjmqgs5q1bq14qnb-8xuco9w1sisyj-9p5wjs+g6vg...@mail.gmail.com


Hoy por hoy es muy normal ver correo no deseado que te llegue al correo y
que este se trate de aprovechar de algun tipo de vulnerabilidad para tomar
control de tu maquina, de tu informacion personal, etc. Bueno en las listas
de distribuccion no es nada distinto si es el canal que quiere usar algun
individuo para apoderarse de mas equipos, mas aun si la lista no es
moderada, pero el que no las alla no quiere decir que sea mas inseguro, la
seguridad pasa por uno.

Saludos

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Fri, 21 Mar 2014 18:37:09 +, carlopmart escribió:

 On 03/21/2014 06:30 PM, carlopmart wrote:

(...)

 Perdidos en el sentido de que todos los artículos repiten lo mismo,
 es decir: nada. Te remiten al susodicho PDF y ahí se acaba todo. Y
 repito, que lo más importante de esas 69 páginas es la 66. Una página.
 1 de 69.
 Ejem...


 Hombre, ¿la 69, ejem, solo? Creo que no te lo has leido bien. Han
 desarrollado la parte del malware y demás ... No sé que esperabas que
 te explicasen ... De heco, explican más que otras muchas.

La única página donde se ve realmente el problema (el no problema, 
mejor dicho) es la 66. El resto es puro grafiquito y mucho marqueting. Un 
administrador lo primero que te va a preguntar es ¿y cómo se contagia uno 
con este bicho? Y no ¿cuál es el big-picture, cuántos sistemas se han 
infectado y qué consecuencias tiene?

 Coom dije anteriormente, puedes ver este tipo de cosas con una distro
 como Kali Linux


 Mira, y para cerrar el tema, aquí tienes info más detallada:
 
 http://blog.sucuri.net/2013/01/server-side-iframe-injections-via-apache-
modules-and-sshd-backdoor.html
 http://blog.sucuri.net/2013/04/apache-binary-backdoors-on-cpanel-based-
servers.html
 
 No sé si es algo así lo que buscas como explicación ...

Ya he visto suficiente no-info, no es eso lo que digo sino que me 
parece que le has dado demasiada importancia algo que no la tiene. Porque 
servidores con linux/unix/bsd infectados se cuentan en decenas de miles 
antes y después de este informe. 

Es más, yo recibo spam todos los santos días desde hace la tira de años y 
si te fijas en la cabecera de los mensajes te das cuenta de que no se ha 
generado desde clientes windows zombies sino desde un script PHP en un 
servidor web bajo, oh, Linux. Script vulnerable y no actualizado, versión 
de PHP con bugs sin parchear y administradores perezosos. Nada nuevo.

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.21.19.00...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.


On 03/21/2014 07:00 PM, Camaleón wrote:

El Fri, 21 Mar 2014 18:37:09 +, carlopmart escribió:


On 03/21/2014 06:30 PM, carlopmart wrote:


(...)


Perdidos en el sentido de que todos los artículos repiten lo mismo,
es decir: nada. Te remiten al susodicho PDF y ahí se acaba todo. Y
repito, que lo más importante de esas 69 páginas es la 66. Una página.
1 de 69.
Ejem...



Hombre, ¿la 69, ejem, solo? Creo que no te lo has leido bien. Han
desarrollado la parte del malware y demás ... No sé que esperabas que
te explicasen ... De heco, explican más que otras muchas.


La única página donde se ve realmente el problema (el no problema,
mejor dicho) es la 66. El resto es puro grafiquito y mucho marqueting. Un
administrador lo primero que te va a preguntar es ¿y cómo se contagia uno
con este bicho? Y no ¿cuál es el big-picture, cuántos sistemas se han
infectado y qué consecuencias tiene?


Pero vamos a ver, ¿que no-info no te dan? ¿Como han entrado en los 
servers?: pues te lo están diciendo en la página 16. Robo de 
contraseñas. ¿Que como se hace eso? Hombre te tengo por una persona 
bastante inteligente ... Un par de búsquedas por san goole y listos.



El contagio: ¿que contagio? Lo único que han hecho ha sido instalarse un 
backdoor para asegurarse acceso permanente. A partir de ahí, los propios 
técnicos de ESEt que elaboran el informe no te puden garantizar que más 
travesuras se han hecho, porque entre otras cosas han realizado DNS 
poisoning, y eso implica que pueden haber redireccionado a los usuarios 
a cualquier site. A parte de lo del spam, que vuelvo a decir que me 
chirria y mucho.






Coom dije anteriormente, puedes ver este tipo de cosas con una distro
como Kali Linux



Mira, y para cerrar el tema, aquí tienes info más detallada:

http://blog.sucuri.net/2013/01/server-side-iframe-injections-via-apache-

modules-and-sshd-backdoor.html

http://blog.sucuri.net/2013/04/apache-binary-backdoors-on-cpanel-based-

servers.html


No sé si es algo así lo que buscas como explicación ...


Ya he visto suficiente no-info, no es eso lo que digo sino que me
parece que le has dado demasiada importancia algo que no la tiene. Porque
servidores con linux/unix/bsd infectados se cuentan en decenas de miles
antes y después de este informe.


le doy cierta importancia por dos motivos: el volumen de servidores y la 
facilidad de como lo han conseguido (y si el CERN suizo está de por 
medio, una entidad que normalmente no se dedica a esto, es todavía mucho 
más extraño).


Y segurián infectando servidores ... pero el tema está en que lo que 
sorprende la facilidad con lo que lo han hecho y haber estado 4 años sin 
que casi nadie se entere.


Esto es como el caso Snowden: todas las relevaciones que ha hecho hasta 
le fecha, no sorprendieron a nadie en el mundo de la seguridad, a 
excepción de una: la colaboración de Google (porque de Oracle, 
Microsoft, Apple y demás se podría esperar por la estrecha colaboración 
que tiene con el gob. norteamericano).




Es más, yo recibo spam todos los santos días desde hace la tira de años y
si te fijas en la cabecera de los mensajes te das cuenta de que no se ha
generado desde clientes windows zombies sino desde un script PHP en un
servidor web bajo, oh, Linux. Script vulnerable y no actualizado, versión
de PHP con bugs sin parchear y administradores perezosos. Nada nuevo.


Pues yo llevo más de dos años tranquilamente con 0 spam, por lo que 
comenté anteriormente: hay en dia cualquier cacharro anti-spam lo para 
casi todo. El spam ha dejado de ser negocio ...



--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/532ca0bb.3030...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-21 Por tema consultor

On 03/21/2014 08:56 AM, Camaleón wrote:
 El Fri, 21 Mar 2014 15:40:16 +, C. L. Martinez escribió:
 
 2014-03-21 15:30 GMT+00:00 Camaleón noela...@gmail.com:
 
 (...)
 
 Pues la noticia/informe de ESET sigue aparecer en los medios IT, ni en
 los boletines de seguridad a los que estoy suscrita, me parece que le
 han querido dar mucho bombo a algo que no lo tiene, quizá porque todo
 lo que lleve en la misma frase linux y vulnerable venda más.

 Pues es noticia en portales IT:

 http://it-beta.slashdot.org/story/14/03/18/2218237/malware-attack-
 infected-25000-linuxunix-servers
 http://www.welivesecurity.com/2014/03/18/attack-unix-operation-windigo/
 http://www.welivesecurity.com/wp-content/uploads/2014/03/
 operation_windigo.pdf
 https://news.ycombinator.com/item?id=7426994
 http://thehackernews.com/2014/03/operation-windigo-linux-malware.html
 
 
 (...)
 
 No tengo ninguna referencia en los RSS de seguridad que sigo, entre 
 otros: securityfocus, una-al-día y uscert. Nada.
  
 Busca en google por operation windigo
 
 Sí, lo sé, y todos están un poco perdidos y te dirigen al estudio de ESET 
 por lo que o una de dos, o tampoco han logrado entender de qué va la cosa 
 o le están haciendo caja a ESET ;-)
 
 Saludos,
 

Yo tengo la impresion de que se trata de una farsa; basta ver el
lenguaje impreciso que usan! En ningun documento, explican con claridad
lo que sugieren. En el doc en Castellano, dicen palabras de paso y en
Ingles dicen Credenciales, que es generico. Ademas, ESET es quien
promueve el uso de antivirus y anti-malware en Windows!





signature.asc
Description: OpenPGP digital signature

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Wed, 19 Mar 2014 19:01:59 +, C. L. Martinez escribió:

 2014-03-19 18:26 GMT+00:00 Camaleón noela...@gmail.com:

(...)

 En dicho informe hablan de un robo de claves SSH, nada descabellado
 por otra parte (con un poco de Google hacking y utilizando el buscador
 shodan, aparecen bastantes barbaridades).

 Vale, así que:

 1/ Las claves las obtienen por otro medio (¿indican cuál?).
 
 No lo indican pero podemos hacer suposiciones: man in the middle, keys
 accesibles via servicios standard como http (si, si. Eso lo he vivido yo
 en mis propias carnes,), etc, etc ...

 2/ Quienes no tenemos habilitado el servicio SSH remoto podemos seguir
 roncando.
 
 Me inclino a pensar que por la magnitud de los servidores comprometido,
 no solo se trata de claves SSh. Es muy probable que hayan obtenido
 claves de otros servicios ...

(...)

He buceado un poco más buscando información inteligible sobre la noticia  
y me parece haber llegado a la conclusión de que el vector de ataque (o 
al menos uno de ellos) es la instalación de una versión modificada de 
OpenSSH. 

Cómo lo han logrado instalar en los servidores afectados es un misterio, 
supongo que haciendo uso de algún servicio instalado (WorldPress, PHPNuke, 
etc...) que no estaría actualizado y que era pasto de algún fallo de 
seguridad. En fin, la verdad es que no me queda del todo claro :-/

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.20.14.16...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-20 Por tema C. L. Martinez

2014-03-20 14:16 GMT+00:00 Camaleón noela...@gmail.com:
El Wed, 19 Mar 2014 19:01:59 +, C. L. Martinez escribió:

2014-03-19 18:26 GMT+00:00 Camaleón noela...@gmail.com:

(...)

En dicho informe hablan de un robo de claves SSH, nada descabellado
por otra parte (con un poco de Google hacking y utilizando el buscador
shodan, aparecen bastantes barbaridades).

Vale, así que:

1/ Las claves las obtienen por otro medio (¿indican cuál?).

No lo indican pero podemos hacer suposiciones: man in the middle, keys
accesibles via servicios standard como http (si, si. Eso lo he vivido yo
en mis propias carnes,), etc, etc ...

2/ Quienes no tenemos habilitado el servicio SSH remoto podemos seguir
roncando.

Me inclino a pensar que por la magnitud de los servidores comprometido,
no solo se trata de claves SSh. Es muy probable que hayan obtenido
claves de otros servicios ...

(...)

He buceado un poco más buscando información inteligible sobre la noticia
y me parece haber llegado a la conclusión de que el vector de ataque (o
al menos uno de ellos) es la instalación de una versión modificada de
OpenSSH.

Cómo lo han logrado instalar en los servidores afectados es un misterio,
supongo que haciendo uso de algún servicio instalado (WorldPress, PHPNuke,
etc...) que no estaría actualizado y que era pasto de algún fallo de
seguridad. En fin, la verdad es que no me queda del todo claro :-/

Saludos,

A ver, en la página 6 te hacen el esquema rápido.

Obviamente, han conseguido el acceso a los servers de alguna forma
(passwords débiles, mala configuración, etc..) sin necesidad de
explotar vulnerabilidades. Y estás en lo cierto, instalaron backdoors.

Ahora bien, lo que te comentan es que los sistemas detectados por
ellos, utilizaron como puerta de entrada ese backdoor, pero en estas
cosas como casi siempre no puedes asegurar al 100% que fue el único
tipo de acceso. Es más no lo pudo ser por el sencillo motivo que hay
que instalar el backdoor al menos como mínimo en un servidor.

Misterios, es muy probable que pocos. Como comenté en otro correo,
personalmente he visto auténticas barbaridades en muchos clientes, por
eso apuntan a malas configuraciones. Es más en una auditoria que me
hicieron una vez, me mangaron la clave SSH de un usuario, que por
suerte no tenia privilegios para casi nada. Desde entonces, solo
utilizo autenticación Kerberos, a menos que no pueda.

Para misterios de verdad, Stuxnet que a día de hoy nadie puede
aseverar quien fabricó semenjante bestia, aunque por indicios estuvo
claro quien, pero como no han aparecido pruebas ...

Saludos.

--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive:
https://lists.debian.org/caejqa5j_1d1-yte+q7qfo2iefos2ftf0ndmajrbqyhstnhe...@mail.gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Thu, 20 Mar 2014 14:42:56 +, C. L. Martinez escribió:

 2014-03-20 14:16 GMT+00:00 Camaleón noela...@gmail.com:

(...)

 He buceado un poco más buscando información inteligible sobre la
 noticia y me parece haber llegado a la conclusión de que el vector de
 ataque (o al menos uno de ellos) es la instalación de una versión
 modificada de OpenSSH.

 Cómo lo han logrado instalar en los servidores afectados es un
 misterio, supongo que haciendo uso de algún servicio instalado
 (WorldPress, PHPNuke,
 etc...) que no estaría actualizado y que era pasto de algún fallo de
 seguridad. En fin, la verdad es que no me queda del todo claro :-/

 
 A ver, en la página 6 te hacen el esquema rápido.

(...)

Lo vi pero no hay quien entienda ese esquema. Y más que no entenderse es 
que no dice qué/cómo se infecta un servidor. Los servidores contorneados 
en amarillo/rojo/verde ya están infectados pero poco más dice sobre eso.

Que sí, que está claro que entran varios componentes en juego pero si la 
condición sine quan non para que se vulnere un servidor con alguno de 
esos 3 malwares pasa tener un servidor ssh funcionando y accesible desde 
el exterior (ver pág. 66, ya podían haber empezado por aquí...) , 
entonces se reduce pero muy mucho la gravedad del malware.

¿Que se trata de un entramado bien montado y organizado? Vale, pero de 
peligrosidad real tiene poco. El informe de ESET parece más bien hacer 
hincapié en los resultados de la infección de los tres bichejos más que 
en el proceso de infección en sí mismo.

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.20.15.08...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-20 Por tema C. L. Martinez

2014-03-20 15:07 GMT+00:00 Camaleón noela...@gmail.com:
El Thu, 20 Mar 2014 14:42:56 +, C. L. Martinez escribió:

2014-03-20 14:16 GMT+00:00 Camaleón noela...@gmail.com:

(...)

He buceado un poco más buscando información inteligible sobre la
noticia y me parece haber llegado a la conclusión de que el vector de
ataque (o al menos uno de ellos) es la instalación de una versión
modificada de OpenSSH.

Cómo lo han logrado instalar en los servidores afectados es un
misterio, supongo que haciendo uso de algún servicio instalado
(WorldPress, PHPNuke,
etc...) que no estaría actualizado y que era pasto de algún fallo de
seguridad. En fin, la verdad es que no me queda del todo claro :-/

A ver, en la página 6 te hacen el esquema rápido.

(...)

Lo vi pero no hay quien entienda ese esquema. Y más que no entenderse es
que no dice qué/cómo se infecta un servidor. Los servidores contorneados
en amarillo/rojo/verde ya están infectados pero poco más dice sobre eso.

Uhmm ... Pero exactamente, ¿que es lo que precisas saber o no ves claro?

Que sí, que está claro que entran varios componentes en juego pero si la
condición sine quan non para que se vulnere un servidor con alguno de
esos 3 malwares pasa tener un servidor ssh funcionando y accesible desde
el exterior (ver pág. 66, ya podían haber empezado por aquí...) ,
entonces se reduce pero muy mucho la gravedad del malware.

Hombre, eso de se reduce ... con pinzas. Están hablando de más de
25.000 servidores, no es moco de pavo. Una cosa es infectar estaciones
de trabajo de usuario y otra cosa son servidores ...

¿Que se trata de un entramado bien montado y organizado? Vale, pero de
peligrosidad real tiene poco. El informe de ESET parece más bien hacer
hincapié en los resultados de la infección de los tres bichejos más que
en el proceso de infección en sí mismo.

Personalmente opino que con semejante arsenal a disposición de esta
gente que solo lo hayan utilizado para spamear, es lo que me chirria.
A dia de hoy hay cacharros que paran más del 95% del spam sin
despeinarse ... No estamos en los inicios del siglo XXI ...

Saludos.

--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive:
https://lists.debian.org/CAEjQA5L1ZZ8Q1g3EAHdC=HMz03TjEV_L_L+jQSN6L50g=vz...@mail.gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Thu, 20 Mar 2014 15:15:57 +, C. L. Martinez escribió:

 2014-03-20 15:07 GMT+00:00 Camaleón noela...@gmail.com:

(...)

 A ver, en la página 6 te hacen el esquema rápido.

 (...)

 Lo vi pero no hay quien entienda ese esquema. Y más que no entenderse
 es que no dice qué/cómo se infecta un servidor. Los servidores
 contorneados en amarillo/rojo/verde ya están infectados pero poco más
 dice sobre eso.
 
 Uhmm ... Pero exactamente, ¿que es lo que precisas saber o no ves claro?

Ahora ya nada. La página 66 es la clave :-)

 Que sí, que está claro que entran varios componentes en juego pero si
 la condición sine quan non para que se vulnere un servidor con alguno
 de esos 3 malwares pasa tener un servidor ssh funcionando y accesible
 desde el exterior (ver pág. 66, ya podían haber empezado por aquí...) ,
 entonces se reduce pero muy mucho la gravedad del malware.
 
 Hombre, eso de se reduce ... con pinzas. Están hablando de más de
 25.000 servidores, no es moco de pavo. Una cosa es infectar estaciones
 de trabajo de usuario y otra cosa son servidores ...

25.000 servidores es lo que puede tener una única empresa. Una nadería.

 ¿Que se trata de un entramado bien montado y organizado? Vale, pero de
 peligrosidad real tiene poco. El informe de ESET parece más bien
 hacer hincapié en los resultados de la infección de los tres bichejos
 más que en el proceso de infección en sí mismo.


 A ver, si empezamos a pensar mal: tengo a mi disposición más de 25.000
 servidores para empezar a amargar la vida a alguien, sacarle información
 a alguien, etc ... Empieza a hacer volar tu imaginación o conectate a la
 red Tor.

Sigamos pensando mal... Yo tengo *millones* de ordenadores-zombi windows 
que puedo usar para lo que plazca, por ejemplo, ponerlos a minar bitcoins 
O:-)

 Personalmente opino que con semejante arsenal a disposición de esta
 gente que solo lo hayan utilizado para spamear, es lo que me chirria.
 A dia de hoy hay cacharros que paran más del 95% del spam sin
 despeinarse ... No estamos en los inicios del siglo XXI ...

No lo veo tan grave, la verdad. Ni por el sistema de infección (muy 
limitado) ni por las consecuencias (que ya vivimos desde hace años).

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.20.15.25...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-20 Por tema C. L. Martinez

2014-03-20 15:25 GMT+00:00 Camaleón noela...@gmail.com:
El Thu, 20 Mar 2014 15:15:57 +, C. L. Martinez escribió:

2014-03-20 15:07 GMT+00:00 Camaleón noela...@gmail.com:

(...)

A ver, en la página 6 te hacen el esquema rápido.

(...)

Lo vi pero no hay quien entienda ese esquema. Y más que no entenderse
es que no dice qué/cómo se infecta un servidor. Los servidores
contorneados en amarillo/rojo/verde ya están infectados pero poco más
dice sobre eso.

Uhmm ... Pero exactamente, ¿que es lo que precisas saber o no ves claro?

Ahora ya nada. La página 66 es la clave :-)

Que sí, que está claro que entran varios componentes en juego pero si
la condición sine quan non para que se vulnere un servidor con alguno
de esos 3 malwares pasa tener un servidor ssh funcionando y accesible
desde el exterior (ver pág. 66, ya podían haber empezado por aquí...) ,
entonces se reduce pero muy mucho la gravedad del malware.

Hombre, eso de se reduce ... con pinzas. Están hablando de más de
25.000 servidores, no es moco de pavo. Una cosa es infectar estaciones
de trabajo de usuario y otra cosa son servidores ...

25.000 servidores es lo que puede tener una única empresa. Una nadería.

Pues con esa nadería la puedes liar parda :))

¿Que se trata de un entramado bien montado y organizado? Vale, pero de
peligrosidad real tiene poco. El informe de ESET parece más bien
hacer hincapié en los resultados de la infección de los tres bichejos
más que en el proceso de infección en sí mismo.

A ver, si empezamos a pensar mal: tengo a mi disposición más de 25.000
servidores para empezar a amargar la vida a alguien, sacarle información
a alguien, etc ... Empieza a hacer volar tu imaginación o conectate a la
red Tor.

Sigamos pensando mal... Yo tengo *millones* de ordenadores-zombi windows
que puedo usar para lo que plazca, por ejemplo, ponerlos a minar bitcoins
O:-)

Uhmm ... No es lo mismo, al menos desde mi punto de vista. Cuando
vulneras a un servidor automáticamente se pone a tu servicio cierto
tipo de información que una workstation no te dá. Y aquí dá igual de
si hablamos de servidores Unix, Windows, Mac o lo que sea. Se pone a
tu alcance un volumen de información muy muy importante.

No lo veo tan grave, la verdad. Ni por el sistema de infección (muy
limitado) ni por las consecuencias (que ya vivimos desde hace años).

No es grave, si se trata de spam. Pero esa es la parte que no me
termino de creer ... Porque si fuese solo spam, no habrían durado la
friolera de casi 4 años ...

Saludos.

--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive:
https://lists.debian.org/CAEjQA5K4bViFHyqNZ5h8vb=1owkxdgfgddqztdmqbffzqjz...@mail.gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Thu, 20 Mar 2014 15:34:52 +, C. L. Martinez escribió:

 2014-03-20 15:25 GMT+00:00 Camaleón noela...@gmail.com:

(...)

 A ver, si empezamos a pensar mal: tengo a mi disposición más de 25.000
 servidores para empezar a amargar la vida a alguien, sacarle
 información a alguien, etc ... Empieza a hacer volar tu imaginación o
 conectate a la red Tor.

 Sigamos pensando mal... Yo tengo *millones* de ordenadores-zombi
 windows que puedo usar para lo que plazca, por ejemplo, ponerlos a
 minar bitcoins O:-)
 
 Uhmm ... No es lo mismo, al menos desde mi punto de vista. Cuando
 vulneras a un servidor automáticamente se pone a tu servicio cierto tipo
 de información que una workstation no te dá. Y aquí dá igual de si
 hablamos de servidores Unix, Windows, Mac o lo que sea. Se pone a tu
 alcance un volumen de información muy muy importante.

(...)

Yo creo que, desde el punto de vista de un cracker, la información más 
jugosa (como puede ser los números de tarjetas de crédito, claves de 
licencias de programas, etc... es decir, datos con los que pueden 
comercializar) se encuentra en clientes y estaciones de trabajo más que 
en los servidores. 

Y lo digo más que nada porque algo me dice que esos más de 25.000 
servidores vulnerados son en una gran mayoría equipos de hospedaje 
compartido y/o equipos de usuarios particulares que se montan un servidor 
en su casa, ya que en ambos escenarios se es más proclive a instalar 
aplicaciones de más y donde se descuida la seguridad y el entorno en pro 
de una gestión más sencilla (y masiva) con uso de plantillas 
generalizadas de los servicios.

La información que podría ser valiosa (información de empresas) no la 
verás en servidores conectados a Internet con las características y 
configuraciones como las presentadas en el informe de ESET.

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.20.16.04...@gmail.com

[OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-19 Por tema Miguel Matos

A algunas personas quizás les haga llegado este mensaje, que por
alguna razón, ya se ha colado en unos grupos. Dicho mensaje dice así:

Hola,

Echa un vistazo a estos accesorios que le envié a través de
documentos. Para el acceso inmediato HAGA AQUÍ y firmar con su correo
electrónico.

Respetuosamente(...)

Con pasar el usuario que lo envíe al spam no basta, mucho menos borrar
dicho mensaje. Simplemente, será hacer caso omiso y eliminar el
mensaje, puesto que no hay más opciones. Espero que la próxima no
caigan en mensajes de dudosa procedencia. Ahí se las dejo.

-- 
Buen uso de las listas (como se ven en Debian):
http://wiki.debian.org/es/NormasLista
Ayuda para hacer preguntas inteligentes: http://is.gd/NJIwRz


--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: 
https://lists.debian.org/CALEvJmQGs5=q1bq14QnB-8XUcO9w1Sisyj-9p5WJS+g6=vg...@mail.gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Wed, 19 Mar 2014 08:12:00 -0430, Miguel Matos escribió:

 A algunas personas quizás les haga llegado este mensaje, que por alguna
 razón, ya se ha colado en unos grupos. Dicho mensaje dice así:
 
 Hola,
 
 Echa un vistazo a estos accesorios que le envié a través de documentos.
 Para el acceso inmediato HAGA AQUÍ y firmar con su correo electrónico.
 
 Respetuosamente(...)
 
 Con pasar el usuario que lo envíe al spam no basta, mucho menos borrar
 dicho mensaje. Simplemente, será hacer caso omiso y eliminar el mensaje,
 puesto que no hay más opciones. Espero que la próxima no caigan en
 mensajes de dudosa procedencia. Ahí se las dejo.

Gracias por el aviso pero me parece que correos con malware debemos de 
recibir todos a diario... unos cientos de ellos ;-)

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.19.14.46...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-19 14:46 GMT+00:00 Camaleón noela...@gmail.com:
 El Wed, 19 Mar 2014 08:12:00 -0430, Miguel Matos escribió:

 A algunas personas quizás les haga llegado este mensaje, que por alguna
 razón, ya se ha colado en unos grupos. Dicho mensaje dice así:

 Hola,

 Echa un vistazo a estos accesorios que le envié a través de documentos.
 Para el acceso inmediato HAGA AQUÍ y firmar con su correo electrónico.

 Respetuosamente(...)

 Con pasar el usuario que lo envíe al spam no basta, mucho menos borrar
 dicho mensaje. Simplemente, será hacer caso omiso y eliminar el mensaje,
 puesto que no hay más opciones. Espero que la próxima no caigan en
 mensajes de dudosa procedencia. Ahí se las dejo.

 Gracias por el aviso pero me parece que correos con malware debemos de
 recibir todos a diario... unos cientos de ellos ;-)

 Saludos,


Ese no sé, pero los que tengáis servidores linux (y da igual la
release, inclusive los BSD) públicos, ya podeis iros mirando esto:

http://bit.ly/1qCEQFi

Es de un calado bastante importante y empieza a ser verificado por los
CERT's de muchos paises ... O sea que cuidadín ...


--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: 
https://lists.debian.org/CAEjQA5Lb4oL8jtxGAeZirim1ZQRwCMjVtaGo=_hznhwn3i4...@mail.gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Wed, 19 Mar 2014 15:15:49 +, C. L. Martinez escribió:

 2014-03-19 14:46 GMT+00:00 Camaleón noela...@gmail.com:
 El Wed, 19 Mar 2014 08:12:00 -0430, Miguel Matos escribió:

 A algunas personas quizás les haga llegado este mensaje, que por
 alguna razón, ya se ha colado en unos grupos. Dicho mensaje dice así:

(...)

 Gracias por el aviso pero me parece que correos con malware debemos
 de recibir todos a diario... unos cientos de ellos ;-)

 Saludos,


 Ese no sé, pero los que tengáis servidores linux (y da igual la release,
 inclusive los BSD) públicos, ya podeis iros mirando esto:
 
 http://bit.ly/1qCEQFi
 
 Es de un calado bastante importante y empieza a ser verificado por los
 CERT's de muchos paises ... O sea que cuidadín ...

Bien, vale... pero ¿cuál es el vector de ataque? 

He descargado el PDF con las 69 páginas, muy mono con muchos grafiquitos 
y tal pero no he logrado descifrar cómo se logra infectar un servidor.

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.19.15.31...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-19 15:31 GMT+00:00 Camaleón noela...@gmail.com:
 El Wed, 19 Mar 2014 15:15:49 +, C. L. Martinez escribió:

 2014-03-19 14:46 GMT+00:00 Camaleón noela...@gmail.com:
 El Wed, 19 Mar 2014 08:12:00 -0430, Miguel Matos escribió:

 A algunas personas quizás les haga llegado este mensaje, que por
 alguna razón, ya se ha colado en unos grupos. Dicho mensaje dice así:

 (...)

 Gracias por el aviso pero me parece que correos con malware debemos
 de recibir todos a diario... unos cientos de ellos ;-)

 Saludos,


 Ese no sé, pero los que tengáis servidores linux (y da igual la release,
 inclusive los BSD) públicos, ya podeis iros mirando esto:

 http://bit.ly/1qCEQFi

 Es de un calado bastante importante y empieza a ser verificado por los
 CERT's de muchos paises ... O sea que cuidadín ...

 Bien, vale... pero ¿cuál es el vector de ataque?

 He descargado el PDF con las 69 páginas, muy mono con muchos grafiquitos
 y tal pero no he logrado descifrar cómo se logra infectar un servidor.

 Saludos,

 --

Pues te lo indican clarito: por robo de claves de autenticación ...


--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: 
https://lists.debian.org/caejqa5+zqhq-f7d_ga51dkgeeqgquwwyxqk8qzenucnk8v8...@mail.gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-19 16:15 GMT+00:00 Camaleón noela...@gmail.com:
 El Wed, 19 Mar 2014 15:46:15 +, C. L. Martinez escribió:

 2014-03-19 15:31 GMT+00:00 Camaleón noela...@gmail.com:

 (...)

 Ese no sé, pero los que tengáis servidores linux (y da igual la
 release,
 inclusive los BSD) públicos, ya podeis iros mirando esto:

 http://bit.ly/1qCEQFi

 Es de un calado bastante importante y empieza a ser verificado por los
 CERT's de muchos paises ... O sea que cuidadín ...

 Bien, vale... pero ¿cuál es el vector de ataque?

 He descargado el PDF con las 69 páginas, muy mono con muchos
 grafiquitos y tal pero no he logrado descifrar cómo se logra infectar
 un servidor.


 Pues te lo indican clarito: por robo de claves de autenticación ...

 Para robar las claves (¿qué claves, la de root??) tienen que acceder,
 ¿cómo lo hacen?

 Saludos,


En dicho informe hablan de un robo de claves SSH, nada descabellado
por otra parte (con un poco de Google hacking y utilizando el buscador
shodan, aparecen bastantes barbaridades). Por otro lado también
indican que no se trata de la explotación de alguna vulnerabilidad en
los servidores (algo que tiene también mucho sentido teniendo en
cuenta del volumen del que se está hablando, 25.000 servidores mínimo.
Eseo es sencillamente, demasiada vulnerabilidad).

Ergo, se trata de administradores chapuzas de toda la vida ... Esos
que infectan la profesión (lo siento, no puedo evitarlo).

SAludos.


--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: 
https://lists.debian.org/CAEjQA5Jry0YfktdwNNBGU1zk2EBQ1eQdkTC=h13aunvq1hy...@mail.gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Wed, 19 Mar 2014 15:46:15 +, C. L. Martinez escribió:

 2014-03-19 15:31 GMT+00:00 Camaleón noela...@gmail.com:

(...)

 Ese no sé, pero los que tengáis servidores linux (y da igual la
 release,
 inclusive los BSD) públicos, ya podeis iros mirando esto:

 http://bit.ly/1qCEQFi

 Es de un calado bastante importante y empieza a ser verificado por los
 CERT's de muchos paises ... O sea que cuidadín ...

 Bien, vale... pero ¿cuál es el vector de ataque?

 He descargado el PDF con las 69 páginas, muy mono con muchos
 grafiquitos y tal pero no he logrado descifrar cómo se logra infectar
 un servidor.

 
 Pues te lo indican clarito: por robo de claves de autenticación ...

Para robar las claves (¿qué claves, la de root??) tienen que acceder, 
¿cómo lo hacen?

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.19.16.15...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

El Wed, 19 Mar 2014 17:43:15 +, C. L. Martinez escribió:

 2014-03-19 16:15 GMT+00:00 Camaleón noela...@gmail.com:

(...)

 He descargado el PDF con las 69 páginas, muy mono con muchos
 grafiquitos y tal pero no he logrado descifrar cómo se logra infectar
 un servidor.


 Pues te lo indican clarito: por robo de claves de autenticación ...

 Para robar las claves (¿qué claves, la de root??) tienen que acceder,
 ¿cómo lo hacen?


 En dicho informe hablan de un robo de claves SSH, nada descabellado por
 otra parte (con un poco de Google hacking y utilizando el buscador
 shodan, aparecen bastantes barbaridades). 

Vale, así que:

1/ Las claves las obtienen por otro medio (¿indican cuál?).

2/ Quienes no tenemos habilitado el servicio SSH remoto podemos seguir 
roncando. 

No es lo mismo un robo de claves que afecta a un servicio concreto que 
una vulnerabilidad de algún demonio o un exploit nuevo del kernel o vaya 
usted a saber, eso sí sería preocupante.

 Por otro lado también indican que no se trata de la explotación de
 alguna vulnerabilidad en los servidores (algo que tiene también mucho
 sentido teniendo en cuenta del volumen del que se está hablando, 25.000
 servidores mínimo. Eseo es sencillamente, demasiada vulnerabilidad).

Zzzz... yo sigo roncando :-)

 Ergo, se trata de administradores chapuzas de toda la vida ... Esos que
 infectan la profesión (lo siento, no puedo evitarlo).

Pues voy a hacer un seguimiento de la noticia porque la verdad es que no 
recuerdo haber recibido ninguna alerta sobre esto.

Saludos,

-- 
Camaleón


-- 
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/pan.2014.03.19.18.26...@gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-19 18:26 GMT+00:00 Camaleón noela...@gmail.com:
El Wed, 19 Mar 2014 17:43:15 +, C. L. Martinez escribió:

2014-03-19 16:15 GMT+00:00 Camaleón noela...@gmail.com:

(...)

He descargado el PDF con las 69 páginas, muy mono con muchos
grafiquitos y tal pero no he logrado descifrar cómo se logra infectar
un servidor.

Pues te lo indican clarito: por robo de claves de autenticación ...

Para robar las claves (¿qué claves, la de root??) tienen que acceder,
¿cómo lo hacen?

En dicho informe hablan de un robo de claves SSH, nada descabellado por
otra parte (con un poco de Google hacking y utilizando el buscador
shodan, aparecen bastantes barbaridades).

Vale, así que:

1/ Las claves las obtienen por otro medio (¿indican cuál?).

No lo indican pero podemos hacer suposiciones: man in the middle, keys
accesibles via servicios standard como http (si, si. Eso lo he vivido
yo en mis propias carnes,), etc, etc ...

2/ Quienes no tenemos habilitado el servicio SSH remoto podemos seguir
roncando.

Me inclino a pensar que por la magnitud de los servidores
comprometido, no solo se trata de claves SSh. Es muy probable que
hayan obtenido claves de otros servicios ...

No es lo mismo un robo de claves que afecta a un servicio concreto que
una vulnerabilidad de algún demonio o un exploit nuevo del kernel o vaya
usted a saber, eso sí sería preocupante.

Por otro lado también indican que no se trata de la explotación de
alguna vulnerabilidad en los servidores (algo que tiene también mucho
sentido teniendo en cuenta del volumen del que se está hablando, 25.000
servidores mínimo. Eseo es sencillamente, demasiada vulnerabilidad).

Zzzz... yo sigo roncando :-)

Ergo, se trata de administradores chapuzas de toda la vida ... Esos que
infectan la profesión (lo siento, no puedo evitarlo).

Pues voy a hacer un seguimiento de la noticia porque la verdad es que no
recuerdo haber recibido ninguna alerta sobre esto.

Pues deberías haberla recibido, porque la cosa está que arde :)) ...

Fuera bromas, en los medios especializados habituales ya han hablado
de ello ... A nivel de listas de correo, solo he visto comentarios en
las listas de centos, de momento, pero parece que algo aparece por las
de BSD ..

SAludos.

--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive:
https://lists.debian.org/caejqa5l2oefabx+jsx5kcw5jxbztiy3mcvckmymwph4gnwv...@mail.gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-19 Por tema consultor

On 03/19/2014 12:01 PM, C. L. Martinez wrote:
 2014-03-19 18:26 GMT+00:00 Camaleón noela...@gmail.com:
 El Wed, 19 Mar 2014 17:43:15 +, C. L. Martinez escribió:

 2014-03-19 16:15 GMT+00:00 Camaleón noela...@gmail.com:

 (...)

 He descargado el PDF con las 69 páginas, muy mono con muchos
 grafiquitos y tal pero no he logrado descifrar cómo se logra infectar
 un servidor.


 Pues te lo indican clarito: por robo de claves de autenticación ...

 Para robar las claves (¿qué claves, la de root??) tienen que acceder,
 ¿cómo lo hacen?


 En dicho informe hablan de un robo de claves SSH, nada descabellado por
 otra parte (con un poco de Google hacking y utilizando el buscador
 shodan, aparecen bastantes barbaridades).

 Vale, así que:

 1/ Las claves las obtienen por otro medio (¿indican cuál?).
 
 No lo indican pero podemos hacer suposiciones: man in the middle, keys
 accesibles via servicios standard como http (si, si. Eso lo he vivido
 yo en mis propias carnes,), etc, etc ...

 2/ Quienes no tenemos habilitado el servicio SSH remoto podemos seguir
 roncando.
 
 Me inclino a pensar que por la magnitud de los servidores
 comprometido, no solo se trata de claves SSh. Es muy probable que
 hayan obtenido claves de otros servicios ...
 
 

 No es lo mismo un robo de claves que afecta a un servicio concreto que
 una vulnerabilidad de algún demonio o un exploit nuevo del kernel o vaya
 usted a saber, eso sí sería preocupante.

 Por otro lado también indican que no se trata de la explotación de
 alguna vulnerabilidad en los servidores (algo que tiene también mucho
 sentido teniendo en cuenta del volumen del que se está hablando, 25.000
 servidores mínimo. Eseo es sencillamente, demasiada vulnerabilidad).

 Zzzz... yo sigo roncando :-)

 Ergo, se trata de administradores chapuzas de toda la vida ... Esos que
 infectan la profesión (lo siento, no puedo evitarlo).

 Pues voy a hacer un seguimiento de la noticia porque la verdad es que no
 recuerdo haber recibido ninguna alerta sobre esto.
 
 Pues deberías haberla recibido, porque la cosa está que arde :)) ...
 
 Fuera bromas, en los medios especializados habituales ya han hablado
 de ello ... A nivel de listas de correo, solo he visto comentarios en
 las listas de centos, de momento, pero parece que algo aparece por las
 de BSD ..
 
 SAludos.
 
 

Disculpa CL, yo tambien lei el doc y no puedo imaginarme como podria
ocurrir!



signature.asc
Description: OpenPGP digital signature

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.

2014-03-19 19:20 GMT+00:00 consultor consul...@openmailbox.org:
On 03/19/2014 12:01 PM, C. L. Martinez wrote:
2014-03-19 18:26 GMT+00:00 Camaleón noela...@gmail.com:
El Wed, 19 Mar 2014 17:43:15 +, C. L. Martinez escribió:

2014-03-19 16:15 GMT+00:00 Camaleón noela...@gmail.com:

(...)

He descargado el PDF con las 69 páginas, muy mono con muchos
grafiquitos y tal pero no he logrado descifrar cómo se logra infectar
un servidor.

Pues te lo indican clarito: por robo de claves de autenticación ...

Para robar las claves (¿qué claves, la de root??) tienen que acceder,
¿cómo lo hacen?

En dicho informe hablan de un robo de claves SSH, nada descabellado por
otra parte (con un poco de Google hacking y utilizando el buscador
shodan, aparecen bastantes barbaridades).

Vale, así que:

1/ Las claves las obtienen por otro medio (¿indican cuál?).

No lo indican pero podemos hacer suposiciones: man in the middle, keys
accesibles via servicios standard como http (si, si. Eso lo he vivido
yo en mis propias carnes,), etc, etc ...

2/ Quienes no tenemos habilitado el servicio SSH remoto podemos seguir
roncando.

Me inclino a pensar que por la magnitud de los servidores
comprometido, no solo se trata de claves SSh. Es muy probable que
hayan obtenido claves de otros servicios ...

No es lo mismo un robo de claves que afecta a un servicio concreto que
una vulnerabilidad de algún demonio o un exploit nuevo del kernel o vaya
usted a saber, eso sí sería preocupante.

Zzzz... yo sigo roncando :-)

Ergo, se trata de administradores chapuzas de toda la vida ... Esos que
infectan la profesión (lo siento, no puedo evitarlo).

Pues voy a hacer un seguimiento de la noticia porque la verdad es que no
recuerdo haber recibido ninguna alerta sobre esto.

Pues deberías haberla recibido, porque la cosa está que arde :)) ...

SAludos.

Disculpa CL, yo tambien lei el doc y no puedo imaginarme como podria
ocurrir!

¿Como puede ocurrir el que? ¿Un robo de credenciales?. A ver:

a) Apareciendo en un archivo en cualquier directorio de un web server,
servidor ftp, etc.
b) Utilizando passwords débiles (lo que usualmente es un ataque de diccionario).
c) DNS poisoning..
d) Man in the middle.
e) Sniffando puertos, por ejemplo de bases de datos, servidores web, etc.
f) Botnets ...
g) Ataques reverse shell ...
.

Aunque como dije antes, parece ser que no han realizado ataques muy
sofisticados.

La lista es larga, pero si te pica la curiosidad, descargate Kali
Linux (es una Debian Wheezy orientada a pen-testing) y empieza a
probar. Verás como las cosas son más sencillas de lo que parecen.
Obviamente, hay otras que no.
.
Pero repito: estas cosas suceden por administradores chapuceros en
cualquier entorno y que manejen cualquier SO. Porque con unas mínimas
reglas de seguridad que apliques a tus sistemas, un ataque así no
podría proliferar tan rápido.

Saludos.

--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive:
https://lists.debian.org/caejqa5jn1yboe59ruzd3kllvc6ewx9aef12cdd6kftg2a+z...@mail.gmail.com

Re: [OT]Malware relacionado con cuentas de correo llegan a grupos.