third-party software… ¿aliados de los · ing. jesús ramírez pichardo (pmp, gcfa, gcfe, opst,...

Ing. Jesús Ramírez Pichardo (PMP, GCFA, GCFE, OPST, OPSA e ISO27001 Lead Auditor)

En Twitter: @whitexploit

Third-Party Software… ¿Aliados de los hackers? ¿Enemigos de los sistemas?

Antes de comenzar…

“Las opiniones expresadas en esta presentación son personales y no representan la política o posición oficial de mi empleador.”

Agenda

El socio i có odo

Problemática

Caso de estudio

Conclusiones y Recomendaciones

El “socio” incómodo

Third-Party Software:

“Es un programa desarrollado por un “tercero” que se instala en un sistema “base” para ampliar su funcionalidad estándar”.

Los sistemas “base”…

El “socio” incómodo:

Podríamos entender que un Third-Party Software es un “socio” de los sistemas “base”.

Pero…

Vulnerabilidades críticas en…Java:

(http://www.forbes.com/sites/eliseackerman/2013/01/11/us-department-of-homeland-security-calls-on-computer-users-to-disable-java/)

Vulnerabilidades críticas en…Flash Player:

(http://www.computerworld.com/article/2504180/mac-os-x/apple-patches-safari--blocks-outdated-flash-player.html)

Vulnerabilidades críticas en…Plugins de WP:

(http://www.zdnet.com/wordpress-plugin-vulns-affect-over-20-million-downloads-7000031703/or_update.html)

Vulnerabilidades críticas en…OpenSSL:

(http://www.pcworld.com/article/2140920/heartbleed-bug-in-openssl-puts-encrypted-communications-at-risk.html)

Problemática

Thirty Party Software responsable del 76% de vulnerabilidades en equipos de cómputo:

(http://secunia.com/vulnerability-review/vendor_update.html)

Java y Adobe: los “más vulnerables”:

(http://www.av-test.org/es/noticias/news-single-view/adobe-java-hacen-que-windows-sea-inseguro/)

Sistemas operativos son más inseguros por el software de “terceros”:

(http://computerhoy.com/noticias/software/windows-8-es-windows-mas-vulnerable-culpa-flash-9652)

Vulnerabilidades en WordPress:

(https://wpvulndb.com/statistics)

Top 10 de plugins WP más vulnerables:

(https://wpvulndb.com/statistics)

¿Y los parches apa?...

Los “Pros” del Third-Party Software:

Es un hecho que los Third-Party Software han abierto un mundo de posibilidades.

Han hecho que los sistemas “base” sean más versátiles

y cubran un sinnúmero de nuevas necesidades de los usuarios.

Los “Contras” del Third-Party Software:

Sin embargo, también han abierto las puertas a los hackers, quienes desde hace un par de años aprovechan sus vulnerabilidades como uno de los principales vectores de ataque para violentar los sistemas “base”.

Aun cuando dichos sistemas “base” cuenten con un

robusto nivel de seguridad informática.

Caso de estudio

WordPress Slideshow Gallery 1.4.6 Shell Upload

(http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-5460)


Video demostración del ataque CVE-2014-5460:

https://www.youtube.com/watch?v=FuVr9YaUrbE


1. Un atacante carga en WP un “web backdoor” a través del plugin vulnerable:


2. El “web backdoor” está localizado en http://VICTIM/wordpress/wp-content/uploads/slideshow-gallery/backdoor.php:


3. El atacante utiliza un cliente para comunicarse con el “web backdoor”. Ahora el atacante tiene una consola tipo “telnet”:


4. Finalmente, el atacante tiene el control remoto del sitio web:

Conclusiones y Recomendaciones

¿Medida drástica?

Recomendaciones (1/4):

1. Instalar/habilitar el Third Party Software estrictamente NECESARIO.

2. Robustecer la configuración de seguridad del sistema “base” y de cada uno de sus “socios”.


3. Actualizar responsablemente tanto el sistema “base” y sus “socios”.


4. Complementar la protección de los equipos de cómputo con mecanismos preventivos y detectivos (antivirus, antispyware, antispam, firewall, control de contenido web, detector de intrusos, control de aplicaciones por “lista blanca”, entre otros).


5. Retar continuamente su seguridad informática por medio de PenTest para determinar el impacto real de una vulnerabilidad.

“Pensar como un Hacker” y aprovechar los conocimientos de los mismos para evaluar la

seguridad de servicios críticos e identificar los "eslabones más débiles" que los atacantes del "mundo real" podrían aprovechar para dañar a la organización.

GRACIAS POR TU ATENCIÓN

Preguntas

Contáctame: [email protected] Twitter: @whitexploit http://whitexploit.blogspot.mx https://www.youtube.com/user/whitexploit

third-party software… ¿aliados de los · ing. jesús ramírez pichardo (pmp, gcfa, gcfe, opst,...

Documents