Fuente: http://actualidad.rt.com/actualidad/view/78619-ataque-anonymous-afecta-centenar-paginas-israelies

from Crypto.Cipher import DES

def decode_char(c):
    if c == 'a':
        r = '?'
    else:
        r = c
    return ord(r) - ord('!')

def ascii_to_binary(s):
    assert len(s) == 24

    out = [0]*18
    i = 0
    j = 0

    for i in range(0, len(s), 4):
        y = decode_char(s[i + 0])
        y = (y << 6) & 0xffffff

        k = decode_char(s[i + 1])
        y = (y | k) & 0xffffff
        y = (y << 6) & 0xffffff

        k = decode_char(s[i + 2])
        y = (y | k) & 0xffffff
        y = (y << 6) & 0xffffff

        k = decode_char(s[i + 3])
        y = (y | k) & 0xffffff

        out[j+2] = chr(y       & 0xff)
        out[j+1] = chr((y>>8)  & 0xff)
        out[j+0] = chr((y>>16) & 0xff)

        j += 3

    return "".join(out)

def decrypt_password(p):
    r = ascii_to_binary(p)

    r = r[:16]

    d = DES.new("\x01\x02\x03\x04\x05\x06\x07\x08", DES.MODE_ECB)
    r = d.decrypt(r)

    return r.rstrip("\x00")

Joomla! es un sistema de gestión de contenidos o CMS, de código abierto y programado en su mayor parte en PHP. Es muy utilizado para la creación de portales y sitios web. La gran cantidad de extensiones existentes y su fácil integración con el sistema proporcionan un gran potencial a este CMS.
CSRF es una técnica que permitiría realizar peticiones HTTP sin una correcta validación. Por ejemplo, imaginemos que un usuario se encuentra validado en una página que necesita autenticación. Desde el navegador, visita otra web que esconde una petición HTTP hacia esa página que necesita validación. Esa petición HTTP, en forma de enlace, se carga por
la víctima sin saberlo y realiza una acción sobre la página en la que se encuentra autenticada. Esto sería un fallo de CSRF por parte de la página que necesita autenticación, puesto que no valida correctamente que las peticiones provengan de sus propia plataforma. Para impedir esto, las páginas suelen introducir un sistema de control que impide que una petición desde otra web sea válida. A su vez, para eludir esto, los atacantes utilizan técnicas como clickjacking (un  término acuñado en 2008), que permite realizar ataques CSRF aunque se hayan implementado ciertas técnicas para evitarlo.

El clickjacking puede también ser usado para referirse a cualquier tipo de técnica que implique el que un usuario interactúe con una web creyendo que en realidad lo está haciendo con otra.

El problema es que Joomla! permite a cualquier usuario realizar acciones a través de peticiones HTTP que no son convenientemente validadas. Si un usuario visita un enlace especialmente manipulado hacia una plataforma
Joomla!, se podrían realizar acciones sobre el portal y el atacante podría así eludir restricciones de seguridad. No se han dado más detalles sobre la vulnerabilidad, pero probablemente permitiría que un usuario suplantase a otro sin necesidad de conocer la contraseña.

Esta fallo se da en las versiones 2.5.7 y anteriores. Se ha solucionado en la versión 2.5.8 disponible desde www.joomla.org

Opina sobre esta noticia:
http://unaaldia.hispasec.com/2012/11/salto-de-restricciones-con-clickjacking.html#comments

Más información:

[20121102] – Core – Clickjacking
http://developer.joomla.org/security/news/544-20121102-core-clickjacking.html

Sergio de los Santos
ssantos@hispasec.com
Twitter: @ssantosv

Los operadores de telefonía móvil deberían verificar mejor la edad de los niños y jóvenes cuando acceden a los servicios multimedia, y una solución sería llevar un registro con el año de nacimiento de los usuarios. Así lo recomienda un informe elaborado por investigadores de la Universidad Politécnica de Valencia, que también plantea clasificar los contenidos para móviles por edades, como se hace con los videojuegos.

La verificación de la edad a la hora de acceder a los servicios móviles no es efectivo porque siempre queda la posibilidad de que la niña o el niño falseen la casilla correspondiente”, comenta a SINC María de Miguel Molina, profesora de la Universidad Politécnica de Valencia.

Primero, debes saber que los intentos por “hackear” una cuenta de Twitter directamente son extremadamente raros. La mayoría de las cuentas comprometidas son el resultado directo de engaños de “Phishing”. Phishing es una forma de engañar a los usuarios enviándoles mensajes fraudulentos que buscan engañarlos para que revelen sus contraseñas. Este engaño puede venir en forma de un email falso, un archivo adjunto o una pantalla de inicio de sesión que estén diseñados para verse muy similares a tu página de inicio de Twitter.

También debes saber que Twitter nunca te envía correos que pidan tu contraseña o que descargues archivos. Nunca debes escribir tu contraseña en una pantalla web que no sea de Twitter, o una aplicación en la que confíes. Siempre puedes asegurarte de que estás en Twitter fijándote en la dirección en la barra de URLs de tu navegador, para asegurarte de que el dominio es Twitter.com. Hay mucho más que puedes hacer para protegerte de los intentos de phishing en nuestras páginas de Ayuda. 

Aquí hay algunas recomendaciones adicionales de nuestro Centro de Seguridad:

• Usa una contraseña fuerte con al menos 10 caracteres y una combinación de letras, números y símbolos para tu cuenta de Twitter. Usa una contraseña única para cada uno de los sitios web que usas (email, banca electrónica etc). De esta forma si una cuenta es comprometida, las otras estarán seguras. Una cuenta de correo electrónico comprometida es la segunda forma más común en la que un intruso puede ganar acceso a tu cuenta de Twitter.
• Usa HTTPS para más seguridad en Twitter. Esta es la misma tecnología de cifrado que te permite hacer pagos seguros en línea. Aprende cómo hacerlo aquí.
• Te recomendamos vincular tu teléfono con tu cuenta de Twitter. Hacer esto puede salvar tu cuenta si pierdes control de tu correo personal y o tu contraseña. Este artículo te explica cómo hacerlo.
• Si piensas que tu cuenta ha sido comprometida, visita nuestra página de ayuda para cuentas comprometidas para saber cómo proceder.

Estamos comprometidos por mantener a Twitter como una comunidad abierta y segura, y educar a nuestros usuarios es una de las mejores formas de mantener las cuentas seguras. A menudo enviamos actualizaciones de seguridad vía @ayuda y@safety (en Inglés), y regularmente actualizamos nuestras páginas de ayuda sobre seguridad de las cuentas. Para individuos y organizaciones usando Twitter en capacidad oficial, Twitter para Salas de Redacción ha sido actualizado con una excelente lista de seguridad, localizada aquí.

fuente:
http://blog.es.twitter.com/2011/07/manteniendo-la-seguridad-de-tu-cuenta.html

Cómo funciona

La compañía global de software antivirus ESET realizó la segunda edición del ESET Security Day, con el objetivo de presentar al sector empresarial las tendencias del cibercrimen y las últimas soluciones disponibles en materia de seguridad antimalware

Un sinnúmero de métodos son ingeniados diariamente por la industria del software dañino para robar información confidencial, con el objetivo de conseguir beneficios generalmente económicos; un delito que consigue su blanco perfecto en grandes empresas. Consciente de esta realidad las principales corporaciones de Venezuela acudieron el pasado jueves al ESET Security Day, un evento interactivo y de capacitación contra la inseguridad informática, realizado en su segunda edición por la compañía global de soluciones antivirus, ESET.

La actividad se realizó en el Hotel Caracas Palace, con la participación de representantes de ESET Latinoamérica: Raphael Labaca Castro, Especialista de Awareness & Research de ESET Latinoamérica, quien dedicó su disertación a explicar la forma correcta de gestionar la información en empresas, y Maximiliano Cantis, Channel Manager para el norte de América del Sur y Centroamérica de ESET Latinoamérica, encargado de profundizar el tema de las soluciones de ESET.

Renato de Gouveia, Gerente de Mercadeo y Ventas para ESET Venezuela, informó que este año la actividad se enfocó en la protección de la información y el uso de las herramientas actuales para combatir el cibercrimen. “La charla fue dirigida a los gerentes y expertos en seguridad de corporaciones del sector público y privado, con el fin de educar y aclarar las inquietudes acerca de las últimas tendencias de malware que pueden afectar a las empresas”.

“Con el objetivo de lograr un mejor intercambio de opiniones y  participación más activa de nuestros invitados, se incorporó una mesa redonda interdisciplinaria conformada por reconocidos expertos en seguridad informática”, mencionó de Gouveia, quien además acotó  que el ESET Security Day se realizó este año con éxito en países latinoamericanos como Perú, Ecuador y México.

Educación antimalware al alcance de todos

Las técnicas de persuasión avanzan cada minuto y hacen que cualquier usuario sea vulnerable si no posee la educación adecuada; de esta forma la prevención no solo es cuestión de empresas, por lo que ESET, reforzó la actividad, realizando la cuarta edición de su conocida Gira Antivirus que se realizó este año en las principales universidades del Edo. Lara. Este año, los seminarios gratuitos se dirigieron a todos los estudiantes universitarios -de cualquier carrera- de las principales universidades del Edo. Lara; en esta oportunidad se contó con la vocería de Raphael Labaca Castro,  Especialista de Awareness & Research de ESET Latinoamérica.
Acerca de ESET

Fundada en 1992, ESET es una compañía global de soluciones de software de seguridad que provee protección de última generación contra amenazas informáticas. La empresa cuenta con oficinas centrales en Bratislava, Eslovaquia, de Coordinación Global en San Diego, California y también sedes en Londres (Reino Unido), Praga (República Checa), Cracovia (Polonia) y Buenos Aires (Argentina).

Además de su producto estrella ESET NOD32 Antivirus, desde el 2007 la compañía ofrece ESET Smart Security, la solución unificada que integra la multipremiada protección proactiva del primero con un firewall y anti-spam. Las soluciones de ESET ofrecen a los clientes corporativos el mayor retorno de la inversión (ROI) de la industria como resultado de una alta tasa de productividad, velocidad de exploración y un uso mínimo de los recursos.

El trabajo de ESET con grandes corporaciones como Canon, Dell, Bridgestone y Microsoft le ha permitido entrar en el Deloitte Technology Fast 500, región Europa, Medio Oriente y África, por cinco años consecutivos.

ESET cuenta también con un largo historial de reconocimientos por parte de prestigiosos laboratorios de la industria: su solución ESET NOD32 logra más premios de Virus Bulletin que ningún otro producto antivirus disponible, detectando consistentemente todos las muestras activas (In-the-Wild) sin generar falsos positivos.

Desde el 2004, ESET opera para la región de América Latina en Buenos Aires, Argentina, donde dispone de un equipo de profesionales capacitados para responder a las demandas del mercado en forma concisa e inmediata y un laboratorio de investigación focalizado en el descubrimiento proactivo de variadas amenazas informáticas.

La importancia de complementar la protección brindada por tecnología líder en detección proactiva de amenazas con una navegación y uso responsable del equipo, junto con el interés de fomentar la concientización de los usuarios en materia de seguridad informática, convierten a las campañas educativas en el pilar de la identidad corporativa de ESET, cuya Gira Antivirus ya ha adquirido renombre propio.

Para más información, visite http://www.eset-la.com

The Muro Group International presenta SECURITY-ZONE 2011, un evento de seguridad informática de talla internacional presentado en Centro de Eventos Valle del Pacifico en Cali, Colombia, Noviembre 28 al 30, 2011.

SECURITY-ZONE 2011 reúne a 16 reconocidos expertos de seguridad informática provenientes de USA, Europa, Asia, y Colombia, en un ambiente propicio para el intercambio de conocimiento, actualización de información, y networking.

SECURITY-ZONE 2011 ofrece traducción simultanea.

SECURITY-ZONE 2011 le da la oportunidad a profesionales en seguridad informática interactuar con reconocidos expertos de la industria y escuchar acerca de los nuevos avances en seguridad informática, nuevas metodologías siendo utilizadas por hackers sofisticados, nuevas tendencias de ataques, y otros temas relacionados con seguridad informática.

Los expertos conferencistas de SECURITY-ZONE 2011 compartirán su experiencia y conocimiento en:

• Adopción de nuevas tecnologías y soluciones de seguridad informática dentro del ambiente corporativo.
• Soluciones para mitigar riesgos potenciales.
• Temas importantes de seguridad informática que afecta el sector financiero, salud, militar, Educación, y telecomunicaciones.

SECURITY-ZONE 2011 tiene una duración de tres (3) días, programado de la siguiente manera:

• Días uno y dos, Workshops presentados por los expertos invitados.
• Día 3 presentaremos entrenamiento técnico divido en tres niveles: Básico, Intermedio, y Experto.

Este evento va dirigido a:

• Chief Information Officer (CIO)
• Chief Information Security Officer (CISO)
• Chief Security Officer (CSO)
• Chief Technology Officer (CTO)
• Chief Operation Officer (COO)
• Vice-President / Director of Operations
• Director of Security
• IT/MIS Director / Manager
• Network Administrator / Engineer
• Security Product Manager
• Security Project Manager
• Security R&D Manager
• Systems Analyst / Auditor / Consultant
• Aquellos responsables por seguridad corporativa
• Aquellos encargados de investigaciones de violación de normas de seguridad y cuestiones disciplinarias y legales asociados con estos actos ilegales.
• Aquellos interesados en desarrollar su carrera profesional en seguridad informática.

El Centro de Eventos Valle del Pacífico es el más reciente y moderno del país. Cuenta con un área total construida de 40.000 metros cuadrados y tiene capacidad para albergar entre 50 hasta 11.000 personas en un solo lugar.

Su diseño multifuncional permite adecuarlo para la realización de congresos, conferencias, reuniones sociales, desfiles, obras de teatro, conciertos y exposiciones y también para la práctica de siete deportes olímpicos.

http://www.securityzone.co

Piratas cibernéticos rivales también se unieron a la cacería al proporcionar información que, de acuerdo a ellos, podría revelar las identidades de los seis integrantes del grupo.

Uno de los miembros del grupo fue entrevistado por The Associated Press y no dio indicios de que su labor estuviera llegando a su fin. LulzSec se adjudicó ataques en contra de empresas importantes de la industria del entretenimiento, de la Agencia Central de Inteligencia (CIA, por sus siglas en inglés), de organizaciones asociadas con el FBI, del Senado estadounidense y un sitio de material pornográfico.

Kevin Mitnick, consultor en seguridad y ex ciberpirata, dijo que probablemente el grupo determinó que entre más acciones realizara mayor era la posibilidad de que alguno de ellos cometiera un error que permitiría a las autoridades dar con ellos.

El grupo fue inspiración de otros que los imitaron en todo el mundo, destacó el especialista, lo que abre la posibilidad de que ataques similares continúen aún sin LulzSec.

“Ellos pueden sentarse tranquilamente a ver el caos y no arriesgarse a ser capturados”, agregó Mitnick.

A manera de despedida, LulzSec reveló documentos e información de cuentas de acceso aparentemente obtenidas de páginas de juegos por internet y de servidores corporativos.

El más grande grupo de documentos —338 archivos— parece incluir información de AT&T que detalla la creación de una nueva red de banda ancha inalámbrica en Estados Unidos. La red está lista para entrar en funciones este verano. Un vocero de la empresa telefónica no pudo confirmar la autenticidad de los documentos.

AP – The Associated Press. Todos los derechos reservados.