{"id":15479,"date":"2019-06-03T01:51:32","date_gmt":"2019-06-03T09:51:32","guid":{"rendered":"https:\/\/www.palada.net\/index.php\/2019\/06\/03\/news-9228\/"},"modified":"2019-06-03T01:51:32","modified_gmt":"2019-06-03T09:51:32","slug":"news-9228","status":"publish","type":"post","link":"http:\/\/www.palada.net\/index.php\/2019\/06\/03\/news-9228\/","title":{"rendered":"Un mill\u00f3n de dispositivos siguen siendo vulnerables a una vulnerabilidad RDP \u201ctipo gusano\u201d"},"content":{"rendered":"<p><img decoding=\"async\" src=\"https:\/\/sophos.files.wordpress.com\/2019\/05\/shutterstock_372635872.jpg\"\/><\/p>\n<p><strong>Credit to Author: Naked Security| Date: Fri, 31 May 2019 13:36:56 +0000<\/strong><\/p>\n<div class=\"entry-content\">\n<p>Un escaneo de todo Internet revel\u00f3 que casi un mill\u00f3n de dispositivos son vulnerables a BlueKeep, la vulnerabilidad de Windows que tiene a la comunidad de seguridad en alerta m\u00e1xima este mes.<\/p>\n<p>BlueKeep es m\u00e1s conocido como CVE-2019-0708, una vulnerabilidad que Microsoft <a href=\"https:\/\/news.sophos.com\/es-es\/2019\/05\/16\/actualiza-ya-vulnerabilidad-critica-remota-y-tipo-gusano-de-windows\/\">anunci\u00f3<\/a> en el martes del parche de mayo, que afecta a los servicios de escritorio remoto de Windows, a los que se puede acceder a trav\u00e9s del protocolo RDP. Esta permite la ejecuci\u00f3n de c\u00f3digo remoto y es de tipo gusano, lo que significa que una m\u00e1quina con Windows comprometida podr\u00eda buscar e infectar otros dispositivos vulnerables sin interacci\u00f3n humana. Los gusanos se pueden propagar r\u00e1pidamente en l\u00ednea, como vimos con el exploit de ransomware WannaCry en 2017.<\/p>\n<p>BlueKeep afecta a las m\u00e1quinas con Windows XP, Vista y 7, pero no a Windows 8 o 10. Esas versiones representan alrededor del 35% de las instalaciones de Windows, <a href=\"http:\/\/gs.statcounter.com\/windows-version-market-share\/desktop\/worldwide\/\">seg\u00fan Statcounter<\/a>. La vulnerabilidad tambi\u00e9n afecta a Windows Server 2003 y 2008.<\/p>\n<p>El investigador de seguridad Rob Graham, realiz\u00f3 un proyecto de escaneo en dos partes para descubrir cu\u00e1ntas m\u00e1quinas eran vulnerables a este preocupante problema. Comenz\u00f3 a escanear todo Internet utilizando una herramienta de escaneo masivo para encontrar todos los dispositivos que respond\u00edan en el puerto 3389, el puerto que RDP usa habitualmente.<\/p>\n<p>Luego, perfeccion\u00f3 los resultados al desarrollar <a href=\"https:\/\/github.com\/zerosum0x0\/CVE-2019-0708\">un proyecto de escaneo de BlueKeep<\/a> que termin\u00f3 la semana pasada con la herramienta de pentesting Metasploit. Su bifurcaci\u00f3n cre\u00f3 <a href=\"https:\/\/github.com\/robertdavidgraham\/rdpscan\">rdpscan<\/a>, una herramienta dise\u00f1ada para recorrer r\u00e1pidamente un gran conjunto de direcciones en busca de m\u00e1quinas Windows vulnerables a BlueKeep.<\/p>\n<p>Lo hizo utilizando Tor, pero dice que probablemente no fue \u00e9l quien caus\u00f3 un aumento en los escaneos RDP, a trav\u00e9s del servicio de enrutamiento an\u00f3nimo de la cebolla de la semana pasada:<\/p>\n<div class=\"embed-twitter\">\n<blockquote class=\"twitter-tweet\" data-width=\"550\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">GreyNoise is observing sweeping tests for systems vulnerable to the RDP &quot;BlueKeep&quot; (CVE-2019-0708) vulnerability from several dozen hosts around the Internet. This activity has been observed from exclusively Tor exit nodes and is likely being executed by a single actor. <a href=\"https:\/\/t.co\/iGwuGuD4Rq\">pic.twitter.com\/iGwuGuD4Rq<\/a><\/p>\n<p>&mdash; GreyNoise Intelligence (@GreyNoiseIO) <a href=\"https:\/\/twitter.com\/GreyNoiseIO\/status\/1132101252006010880?ref_src=twsrc%5Etfw\">May 25, 2019<\/a><\/p>\n<\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/div>\n<p>Eso son mucho m\u00e1s sistemas vulnerables a BlueKeep que los expuestos a la vulnerabilidad, que en su momento, permiti\u00f3 propagarse a WannaCry por todo el mundo en un solo d\u00eda.<\/p>\n<p>Kevin Beaumont, el investigador de seguridad que le dio a BlueKeep su nombre, se\u00f1al\u00f3 que la cantidad de m\u00e1quinas expuestas a Internet a trav\u00e9s de RDP es solo la punta del iceberg:<\/p>\n<div class=\"embed-twitter\">\n<blockquote class=\"twitter-tweet\" data-width=\"550\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">Spoiler: it will be way, way higher when you get to systems inside organisations.<\/p>\n<p>&mdash; Kevin Beaumont (@GossiTheDog) <a href=\"https:\/\/twitter.com\/GossiTheDog\/status\/1133340607336861696?ref_src=twsrc%5Etfw\">May 28, 2019<\/a><\/p>\n<\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/div>\n<p>Microsoft ha publicado parches para esta vulnerabilidad (<a href=\"https:\/\/support.microsoft.com\/en-gb\/help\/4500705\/customer-guidance-for-cve-2019-0708\">aqu\u00ed<\/a> y <a href=\"https:\/\/portal.msrc.microsoft.com\/en-US\/security-guidance\/advisory\/CVE-2019-0708\">aqu\u00ed<\/a>). El problema, al igual que con la vulnerabilidad CVE-2017-0144 que provoc\u00f3 WannaCry, es lograr que las personas los apliquen. Hab\u00eda un parche disponible para CVE-2017-0144 dos meses antes de que WannaCry apareciera, pero a\u00fan as\u00ed caus\u00f3 estragos.<\/p>\n<p>Por lo tanto, si a\u00fan no has aplicado el parche, es mejor que lo hagas lo antes posible, aconseja Paul Ducklin, Senior Technologies de Sophos:<\/p>\n<p style=\"padding-left:40px;\"><em>La palabra &#8220;d\u00eda cero&#8221; comprensiblemente nos llena de temor, porque se refiere a un agujero explotable que ya est\u00e1 siendo atacado, pero para el cual a\u00fan no existe un parche. \u00a1As\u00ed que no conviertas los agujeros ya solucionados en d\u00eda cero para ti al no aplicar los parches existentes! Los ciberdelincuentes no solo te buscar\u00e1n, sino que ya tendr\u00e1n las llaves de tu fortaleza.<\/em><\/p>\n<p>Algunos parches tard\u00edos se deben a la falta de conocimiento, pero la complejidad tambi\u00e9n es un problema. Si tienes Windows XP Embedded ejecut\u00e1ndose en un equipo obsoleto que soporta un proceso cr\u00edtico, parchearlo es una perspectiva aterradora.<\/p>\n<p>Si no puedes parchear de inmediato, hay otras cosas que puede hacer mientras tanto. Lo m\u00e1s obvio es desactivar los servicios de escritorio remoto si no son necesarios, o al menos activar la autenticaci\u00f3n de nivel de red, si se necesita. Tambi\u00e9n puedes bloquear el puerto 3389 a nivel de firewall externo.<\/p>\n<p>Los expertos coinciden en que un exploit en el mundo real es simplemente una cuesti\u00f3n de tiempo y varios proveedores de seguridad ya han demostrado c\u00f3digo que funciona pero que no hacen p\u00fablico.<\/p>\n<p>La carrera por parchear est\u00e1 en marcha.<\/p>\n<p>&nbsp;<\/p>\n<p>&nbsp;<\/p>\n<p>Para manteneros al d\u00eda de las <strong>\u00faltimas amenazas<\/strong> haceros fans de <a title=\"Sophos Facebook\" href=\"https:\/\/www.facebook.com\/SophosSeguridadIT\" target=\"_blank\" rel=\"noopener\">nuestra p\u00e1gina de Facebook<\/a> o <a title=\"Twitter SophosIberia\" href=\"https:\/\/twitter.com\/SophosIberia\" target=\"_blank\" rel=\"noopener\">s\u00edguenos en Twitter<\/a> para intercambiar experiencias en torno al mundo de la seguridad. Si deseas recibir nuestro <a title=\"bolet\u00edn de seguridad\" href=\"http:\/\/sophosiberia.es\/boletin-seguridad\/\" target=\"_blank\" rel=\"noopener\">bolet\u00edn de seguridad<\/a> en tu correo electr\u00f3nico, suscr\u00edbete en la siguiente aplicaci\u00f3n:<\/p>\n<p> <center><\/p>\n<div class=\"AW-Form-776664510\"><\/div>\n<p> \t<script type=\"text\/javascript\">(function(d, s, id) { \t    var js, fjs = d.getElementsByTagName(s)[0]; \t    if (d.getElementById(id)) return; \t    js = d.createElement(s); js.id = id; \t    js.src = \"\/\/forms.aweber.com\/form\/80\/776664510.js\"; \t    fjs.parentNode.insertBefore(js, fjs); \t}(document, \"script\", \"aweber-wjs-776664510\")); \t<\/script><\/center> \t\t\t<\/div>\n<p><a href=\"http:\/\/feedproxy.google.com\/~r\/sophos\/dgdY\/~3\/GSQKwBZKLBY\/\" target=\"bwo\" >http:\/\/feeds.feedburner.com\/sophos\/dgdY<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p><img decoding=\"async\" src=\"https:\/\/sophos.files.wordpress.com\/2019\/05\/shutterstock_372635872.jpg\"\/><\/p>\n<p><strong>Credit to Author: Naked Security| Date: Fri, 31 May 2019 13:36:56 +0000<\/strong><\/p>\n<p>Un escaneo de todo Internet revel\u00f3 que casi un mill\u00f3n de dispositivos son vulnerables a BlueKeep, la vulnerabilidad de Windows que tiene a la comunidad de seguridad en alerta m\u00e1xima este mes. BlueKeep es m\u00e1s conocido como CVE-2019-0708, una vulnerabilidad que Microsoft anunci\u00f3 en el martes del parche de mayo, que afecta a los servicios [&amp;#8230;]&lt;img src=&#8221;http:\/\/feeds.feedburner.com\/~r\/sophos\/dgdY\/~4\/GSQKwBZKLBY&#8221; height=&#8221;1&#8243; width=&#8221;1&#8243; alt=&#8221;&#8221;\/&gt;<\/p>\n","protected":false},"author":4,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"colormag_page_container_layout":"default_layout","colormag_page_sidebar_layout":"default_layout","footnotes":""},"categories":[10378,10377],"tags":[19963,19971,3764],"class_list":["post-15479","post","type-post","status-publish","format-standard","hentry","category-security","category-sophos","tag-actualidad","tag-actualizacion","tag-malware"],"_links":{"self":[{"href":"http:\/\/www.palada.net\/index.php\/wp-json\/wp\/v2\/posts\/15479","targetHints":{"allow":["GET"]}}],"collection":[{"href":"http:\/\/www.palada.net\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/www.palada.net\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/www.palada.net\/index.php\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"http:\/\/www.palada.net\/index.php\/wp-json\/wp\/v2\/comments?post=15479"}],"version-history":[{"count":0,"href":"http:\/\/www.palada.net\/index.php\/wp-json\/wp\/v2\/posts\/15479\/revisions"}],"wp:attachment":[{"href":"http:\/\/www.palada.net\/index.php\/wp-json\/wp\/v2\/media?parent=15479"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/www.palada.net\/index.php\/wp-json\/wp\/v2\/categories?post=15479"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/www.palada.net\/index.php\/wp-json\/wp\/v2\/tags?post=15479"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}