Los piratas informáticos utilizan espacios de “ancho cero” para omitir la protección de MS Office 365

Los investigadores de seguridad han estado advirtiendo sobre una técnica simple que los cibercriminales y los estafadores de correo electrónico ya están utilizando de forma salvaje para eludir las características de seguridad de Microsoft Office 365, incluyendo Safe Links, que originalmente están diseñados para proteger a los usuarios de malware y ataques de phishing.

Microsoft ha incluido Safe Links en Office 365 como parte de su solución ATP (Advanced Threat Protection) que funciona al reemplazar todas las URL en un correo electrónico entrante con URL seguras propiedad de Microsoft.

Por lo tanto, cada vez que los usuarios hacen clic en un enlace proporcionado en un correo electrónico, Safe Links primero los envía a un dominio de propiedad de Microsoft, donde comprueba de inmediato el enlace original para detectar cualquier cosa sospechosa. Si los escáneres de seguridad de Microsoft detectan algún elemento malicioso, avisa a los usuarios al respecto y, si no, los redirige al enlace original.

Sin embargo, los investigadores de la compañía de seguridad en la nube Avanan han revelado cómo los atacantes han pasado por alto tanto la verificación de la reputación de la URL de Office 365 como las características de protección de la URL de los enlaces seguros mediante el uso de espacios de ancho cero (ZWSP).

Compatible con todos los navegadores web modernos, los espacios de ancho cero (enumerados a continuación) son caracteres Unicode que no se pueden imprimir y que generalmente se usan para habilitar el ajuste de línea en palabras largas, y la mayoría de las aplicaciones los tratan como espacio regular, aunque no sea visible a la vista.











Demostración de ataque de phishing espacial de ancho cero

Según los investigadores, los atacantes simplemente están insertando múltiples espacios de ancho cero en la URL maliciosa mencionada en sus correos electrónicos de suplantación de identidad, rompiendo el patrón de la URL de manera que Microsoft no lo reconoce como un enlace.

"El procesamiento de correo electrónico de Microsoft no reconoció esta URL como una URL legítima, y ​​no aplicó la comprobación de reputación de la URL ni la convirtió con Safe Links para la comprobación posterior al clic", dicen los investigadores en una publicación del blog publicada el miércoles.
"El correo electrónico se entregó al destinatario deseado, pero en su bandeja de entrada, los usuarios no vieron los ZWSP en la URL".

Sin embargo, cuando los usuarios finales hicieron clic en el enlace del correo electrónico, fueron enviados a un sitio web de captura de credenciales para la obtención de credenciales.
Los investigadores también proporcionaron una demostración en video que muestra lo que sucedió cuando enviaron una URL maliciosa a una bandeja de entrada de Office 365 sin ningún carácter ZWSP insertado en la URL y con los caracteres ZWSP insertados en la URL.

El ataque Z-WASP es otra cadena en una lista de vulnerabilidades, incluidos los ataques baseStriker y ZeroFont , que están diseñados para ofuscar contenido malicioso y confundir la seguridad de Microsoft Office 365.
La firma de seguridad descubrió el ataque Z-WASP a más del 90 por ciento de los clientes de Office 365 de Avanan y reportó el problema a Microsoft el 10 de noviembre del año pasado después de confirmar su naturaleza.
Avanan luego trabajó con el equipo de seguridad de Microsoft continuamente para evaluar el alcance de la vulnerabilidad, que luego se abordó el 9 de enero.


Fuente: thehackernews

Predictions 2013: WatchGuard

An uptick in emerging cyber threats and an increased focus by governments to fight back through legislation will colour 2013.

WatchGuard's 2013 security predictions include:

A cyber attack results in a human death
WatchGuard hopes it is wrong in this prediction. But with more computing devices embedded in cars, phones, TVs and even medical devices, digitally dealt death is not only possible, it's plausible.

Security is still often an afterthought when developing innovative technical systems. Criminals, hacktivists, and even nation-states are launching increasingly targeted cyber-attacks, resulting in the destruction of physical equipment. Most recently, a researcher even showed how to wirelessly deliver an 830 volt shock to an insecure pacemaker, proving that digital attacks can have a real-world impact.

Malware enters the Matrix through a virtual door
Last year was the first real-world instance of malware that sought out virtual machines (VMs) and infected them directly. Today, there is an emergence of malicious code that can recognise when it's running in a virtual system and can act accordingly.

In 2013, WatchGuard predicts attackers will create even more VM-targeted malware. It will be designed to take advantage of weaknesses found in many virtual environments, while attempting to avoid virtualised automatic threat detection systems.

Malware wants your browser
WatchGuard anticipates a steep rise in browser-infecting malware in 2013.

With increased adoption of cloud services like online banking, a great deal of personal and sensitive data passes through web browsers.

Many antivirus solutions are focused on catching traditional malware which infects an operating system and aren't as effective at detecting browser-based infections. Now, a new type of malware has emerged. Sometimes called a Man-in-the-Browser or browser zombie, it arrives as a malicious browser extension, plugin, helper object, or piece of JavaScript. It doesn't infect the whole system; instead it takes complete control of a browser and runs whenever the victim surfs the web.

Strike back does little fgood
"Strike back," which refers to launching a counter-offensive against cyber hackers will receive a lot of attention but won't be implemented in most organisations according to WatchGuard.

"Strike backs" can include filing lawsuits, launching cyber espionage campaigns, or even launching counter cyber-attacks against attackers. WatchGuard anticipates most organizations won't implement these measures given the jurisdictional challenges of digital attacks which bounce through several countries. Plus, criminals have the ability to plant "false flags" in malware, tricking victims and authorities into thinking someone else is behind the attack.

We'll pay for our lack of IPv6 expertise
Next year, WatchGuard expects to see an increase in IPv6-based attacks and IPv6 attack tools. While the IT industry continues to be slow at adopting IPv6 into their networks, most new devices ship IPv6-aware and can create IPv6 networks on their own.

Many IT professionals don't have a deep understanding of IPv6's technicalities, yet they have IPv6 traffic and devices on their networks. This also means most administrators haven't implemented any IPv6 security controls, opening the door to attackers looking to exploit unprotected weaknesses.

Android scammers try to empty mobile wallets
Based on the following three factors, WatchGuard expects to see at least one vulnerability, even if just a proof-of-concept, that allows attackers to steal money from Android devices.

Mobile malware is skyrocketing
Cyber criminals are targeting Android devices more than any other because of the platform's openness.  People are increasingly using mobile devices for online payments. Plus, many vendors, including Google, are starting to launch Mobile Wallets, which attaches credit cards to mobile devices.

An exploit sold on the vulnerability market becomes the next APT
WatchGuard expects that at least one auctioned-off zero day exploit will emerge as a major targeted attack this year. Vulnerability markets or auctions are a new trend in information security, allowing so-called "security" companies to sell zero day software vulnerabilities to the highest bidder. While they claim to "vet" their customers and only sell to NATO governments and legitimate companies, there are few safeguards in place to prevent nefarious entities to take advantage.


Fuente: SC Magazine