STEPS TO CLAIM THE YAHOO DATA BREACH COMPENSATION; EVERYONE CAN CLAIM MONEY

ORIGINAL CONTENT: https://www.securitynewspaper.com/2019/09/19/steps-to-claim-the-yahoo-data-breach-compensation-everyone-can-claim-money/

According to data protection specialists, Yahoo is about to close a $117.5 million USD settlement to end the class action against them due to a series of security breaches that affected the company’s users between 2012 and 2016. If you operated a Yahoo account during that period, you are likely to be eligible to receive $100 USD or two years of free credit monitoring services.

For years, hackers were able to access the Yahoo accounts of millions of users, although they could not extract data. The class action was filed and Yahoo has finally reached a satisfactory settlement for the parties involved.

During the six years the breach remained active, various hackers performed some intrusions into the company’s systems. For example, in 2012 two hackers accessed Yahoo’s internal systems, although they took no information. A year later, another hacker group infiltrated the company’s databases, accessing the records of all Yahoo accounts (affecting about 3 billion users), data protection experts mention.

Now, the company has announced the agreement which, as in similar incident, offers affected parties some options to compensate for the inconveniences. Yahoo is offering two years of free credit monitoring services to all affected users. In the event that this offer is not convincing, the company is offering a $100 USD compensation to affected users, as long as they sign up for one of the free credit monitoring services available online, such as the popular Credit Karma.

Everything sounds too good to be true, so we have to clarify some points. The settlement figure is $117.5M USD, so the more people choose to receive money, the lower the amount they will receive. According to data protection specialists, something similar happened in the data breach agreement at Equifax, when those affected ended up receiving much less money than expected due to the high demand. Therefore, the Federal Trade Commission (FTC) has recommended that affected users opt for free monitoring services.

How to claim the benefit?

Any US or Israel resident who managed a Yahoo account between 2012 and 2016 can apply for compensation. To submit the application, users must visit the website that the company has put online for this purpose and complete the appropriate form for their case. In most cases, users must complete the single account holder form.

In very specific cases, users could seek compensation of up to $25k USD for loss of time and money from intrusions, although they will need to back up their claims with documentation and other evidence. Companies that contracted the Yahoo Mail Premium service will also be able to receive additional compensation, noted data protection specialists from the International Institute of Cyber Security (IICS). Yahoo will receive requests until July 20, 2020.

Read More

MASSACHUSETTS TO PAY $400K USD TO HACKERS DUE TO RANSOMWARE ATTACK

ORIGINAL CONTENT: https://www.securitynewspaper.com/2019/09/19/massachusetts-to-pay-400k-usd-to-hackers-due-to-ransomware-attack/

New Bedford city, Massachusetts, has become the new victim of a severe ransomware attack. According to web application security specialists, the attackers have demanded a ransom of $5.3 million USD in exchange for restoring access to files infected by encryption malware.

The incident occurred about two months ago, although the infection was publicly disclosed until September 4, when Jon Mitchell, the mayor of New Bedford, announced the incident during a press conference.

According to the mayor’s statements, the malware reached the city’s IT networks sometime between July 4 and 5. Hackers compromised government networks and installed the ransomware variant known as Ryuk, widely used for extortion purposes, web application security experts commented.

The ransomware managed to spread across the government network of the city of New Bedford, encrypting data stored on more than 150 workstations, nearly 5% of the city’s total computers. For now, hundreds of public officials have trouble accessing some of the New Bedford government’s systems, although the attack failed to spread across the network.

The city’s web application security teams claim that, because the attack occurred at night, many of the systems were closed, so the impact of the incident was moderate. The infection was detected at the beginning of the next working day; after concluding that it was a ransomware attack, infected computers were disconnected from the rest of the network to mitigate the extent of the infection.

In addition, the mayor reported that the city’s IT team was contacted by the hackers responsible for the attack, demanding an amount close to $5.3 million USD, which was to be paid through a Bitcoin transfer.

The New Bedford government made a counteroffer of about $400k USD, which the hackers rejected. Unable to negotiate with the threat actors, IT teams decided to restore lost information using their security backups, which will take some time. While the mayor points out that the city could not cover such a high number, he also mentions that his IT teams decided to maintain communications with hackers in order to buy time to implement some measures and prevent possible attacks in the future. The city had to almost completely rebuild its server network, in addition to restoring some web applications and replacing the infected devices.

Multiple ransomware attacks in various US states have been recently reported. A few weeks ago, web application security experts from the International Institute of Cyber Security (IICS) reported some similar incidents in different Florida cities; in most cases, the victims had to pay ransoms of about $500k USD. Moreover, states like New York and Louisiana have also reported severe infections with encryption malware capable of crippled activities in government offices and utilities.

Read More

SCOTIABANK SOURCE CODE AND LOGIN CREDENTIALS WERE HACKED. USERS SHOULD CONTACT THE BANK TO SECURE THEIR MONEY

ORIGINAL CONTENT: https://www.securitynewspaper.com/2019/09/19/scotiabank-source-code-and-login-credentials-were-hacked-users-should-contact-the-bank-to-secure-their-money/

A severe incident has been confirmed by IT system audit specialists. Scotiabank has mistakenly leaked some of its internal source code as well as confidential login credentials for its back-end systems.

The bank’s security teams have spent the last twelve hours deleting repositories on GitHub that stored sensitive information, which were available to any user for its access. The exposed information includes software blueprints, access keys to exchange rate systems, bank mobile app codes, and database login credentials.

IT system audit specialist Jason Coulls was in charge of spreading the word about the exposed information, stating that some of the repositories had been leaking information for months. The expert notified Scotiabank and GitHub, in addition to alerting payment card processing companies and The Register platform: “Repositories contain a SQL Server database with currency exchange rates, exposing this system to modification, compromising the integrity of the bank,” he said. Most likely, the repositories have already been fully secured or deleted by now.

The exposed repositories also stored the source code for integrating the Scotiabank systems into payment services such as Samsung and Google Pay, as well as some credit card companies, such as Visa and Mastercard.

In this regard, a spokesman for Scotiabank says that the company is already investigating possible causes of the incident, although at the moment it is not possible to share additional details.

In the event that any threat actors could have accessed the content of these repositories, both Scotiabank systems and its more than 25 million customers could be exposed to a wide variety of cyberattacks.

This is not the first time IT system audit experts have discovered Scotiabank security flaws; a couple of years ago it was discovered that the bank’s digital unit used a code that no one had analyzed or audited, and used expired security certificates. “This is a basic security flaw, but I’m not surprised, as I find leaks of Scotiabank information too often,” Coulls says.

International Institute of Cyber Security (IICS) IT system audit specialists support the Coulls version, stating that the bank’s IT teams leak information and code snippets all the time, from mobile apps to server-side implementations, including customer data.

Read More

EXPERTS SHOW HOW TO HIJACK SESSIONS OF MESSAGING APPS LIKE WHATSAPP AND TELEGRAM

ORIGINAL CONTENT: https://www.securitynewspaper.com/2019/09/19/experts-show-how-to-hijack-sessions-of-messaging-apps-like-whatsapp-and-telegram/

There is currently a wide range of instant messaging services and, according to information security specialists, many have a security measure known as end-to-end encryption, which prevents third parties from being able to access the content of messages between two users.

However, this does not mean that our information is completely secure, as hackers can still find a way to breach the security of these apps. Using side channel attack techniques, a threat actor could compromise services like WhatsApp and Telegram for malicious purposes.

Information security specialists consider that the main problem is that users of these apps do not have cybersecurity knowledge, so hackers can access some resources, such as login tokens, that are not protected by end-to-end encryption. An example of this is the Telegrab attack, a malware that allows hackers to take control of a Telegram desktop session by copying tokens to access the platform. A report published by Talos reveals some variants of these attacks.

Taking control of a Telegram desktop session

Session hijacking highly likely when using the Telegram web version. Using the appropriate malware (such as the aforementioned Telegrab), a hacker can extract an access token to login to the victim’s account. When the attacker logs in using the stolen token, the new session starts without the user being able to notice.

In the end, the messages received by the victim are replicated to the session under the attacker’s control.

Shadow sessions in Telegram app

Although it is much more complicated to breach security in the mobile version of Telegram, this does not mean that it is impossible. Some malicious apps can create a “shadow session” without victim interaction, only requiring some minimal permission such as accessing SMS or killing background processes.

When registering with Telegram, the application asks the user for a phone number, which will be verified via an SMS with a unique code. If a user tries to register the same phone number again, Telegram will send a code via the Telegram channel and not as an SMS.

This change prevents malicious apps from creating shadow sessions without user interaction, as it ban them from accessing Telegram’s security code. However, if the time to complete the registration is exhausted, Telegram assumes that the user does not have access to the app yet, so it sends a new code via SMS. This creates a race condition that can be exploited by malicious apps to create a shadow session without user interaction.

Hijacking a WhatsApp Web session

Unlike Telegram, WhatsApp does notify users in case there is a second active session in the web version of the app. According to information security experts, if an attacker initiated a WhatsApp Web session, the target user will receive a notification informing about the new active session.

In this scenario, the attacker will have access to all the information in the attacked WhatsApp account until the victim chooses an option to close the second active session from their computer. However, a flaw in this protection method allows hackers to bypass security by performing the following steps:

• The hacker must stop the application on the victim’s computer
• The hacker starts WhatsApp with the stolen information
• The hacker will then disable the network interface on the machine running the hijacked session
• Attacker logs in again in WhatsApp Web on the victim’s machine
• Finally, the hacker will enable the network interface on the machine running the hijacked session

Thanks to this method, hackers can access the contents of the victim’s WhatsApp account, staying online unless the victim logs out manually on their mobile device.

While these services stand out for being secured, information security specialists from the International Institute of Cyber Security (IICS) believe that it is necessary to involve users more in the implementation of additional security measures for any other attack variant.

Read More

SI INSTALA LA MÁS RECIENTE ACTUALIZACIÓN DE WINDOWS 10, SU WIFI DEJARÁ DE FUNCIONAR

CONTENIDO ORIGINAL: https://noticiasseguridad.com/tecnologia/si-instala-la-mas-reciente-actualizacion-de-windows-10-su-wifi-dejara-de-funcionar/

Acorde a especialistas en seguridad en redes Microsoft ha admitido que la actualización 1903 para el sistema operativo de Windows 10 genera una condición anómala en el funcionamiento de los enrutadores WiFi de algunos equipos, lo que genera frecuentes caídas en la conexión a Internet de los usuarios.

Ahora, el foro para usuarios de Microsoft se ha inundado con las quejas en contra de la actualización correspondiente al mes de septiembre (KB4515384). Lo irónico es que esta actualización estaba pensada para corregir algunas fallas en el sistema operativo, provocadas por la anterior actualización de Windows 10.

Además de las repentinas interrupciones en la conexión WiFi de algunos dispositivos, otros inconvenientes provocados por la última actualización incluyen fallas en el menú de Inicio, en la detección de conexiones USB y algunas fallas con el audio de los equipos actualizados, aseguran los expertos en seguridad en redes.

Debido a que las quejas no dejaban de acumularse, Microsoft finalmente declaró que la actualización de Windows 10 de septiembre podría estar relacionada con las interrupciones en la conexión WiFi de cientos de equipos de cómputo. Aparentemente, el problema reside en los adaptadores WiFi de compañías como Intel y Broadcom usados en dispositivos NEC.

Microsoft, al igual que NEC, identificó algunas fallas en su compatibilidad con algunos chips WiFi de Intel y Broadcom usados en dispositivos NEC que funcionan con versiones recientes de Windows 10.

Los expertos en seguridad en redes afirman que los problemas se presentaron incluso después de que Microsoft anunciara que había trabajado de cerca con los fabricantes de estos dispositivos, además de colaborar con desarrolladores de software independientes para prevenir posibles fallas en las futuras actualizaciones del sistema operativo. “Si los dispositivos se actualizan a Windows 10 1903 no podrán usar ninguna conexión WiFi; los controladores WiFi podrían mostrar un símbolo de alerta en el administrador de dispositivos”, agrega el mensaje de Microsoft.

Mientras Microsoft lanza una nueva actualización para corregir las fallas provocadas por su última actualización, especialistas en seguridad en redes del Instituto Internacional de Seguridad Cibernética (IICS) recomiendan a los usuarios deshabilitar sus adaptadores en la ventana de administración de sus dispositivos y posteriormente volverlos a habilitar. Esta es una solución temporal, pero es la única disponible hasta el momento. Además, este proceso tendrá que repetirse cada vez que los usuarios inicien sus computadoras, lo cual puede ser tedioso.

Microsoft afirma que ya está trabajando en una solución para este problema. Los años más recientes han sido una pesadilla tanto para la compañía como para los usuarios en términos de actualizaciones del sistema, no obstante, Microsoft parece prestar cada vez más atención a la retroalimentación que recibe de los usuarios de su sistema operativo.

Read More

ENCUENTRAN EXTENSIONES FALSAS PARA BLOQUEAR ANUNCIOS EN GOOGLE; DESINSTALE AHORA MISMO

CONTENIDO ORIGINAL: https://noticiasseguridad.com/hacking-incidentes/encuentran-extensiones-falsas-para-bloquear-anuncios-en-google-desinstale-ahora-mismo/

Especialistas en seguridad de aplicaciones web han reportado que dos populares extensiones de navegador para bloquear anuncios, ambas disponibles en Google Chrome Web Store, son desarrollos completamente fraudulentos. Los productos señalados han sido instalados por millones de personas.

Los productos señalados son AdBlock, desarrollada por AdBlock Inc., y uBlock, de Charlie Lee. Los expertos afirman que estas extensiones tratan de engañar a los usuarios usando nombres similares a los de dos extensiones legítimas de desarrolladores reconocidos. A pesar de que miles de usuarios ya han presentado quejas a Google, la compañía no se ha pronunciado al respecto.

Los expertos en seguridad de aplicaciones web afirman que la intención de los creadores de estos productos fraudulentos es realizar una práctica conocida como “relleno de cookies”, muy importante para diversos esquemas de fraude publicitario. Estas extensiones fraudulentas son rellenadas con cookies de terceros, de este modo, cuando los usuarios de las extensiones registran actividad en un sitio de comercio electrónico importante (Amazon, por ejemplo) los desarrolladores de las extensiones falsas reciben comisiones de afiliación por las compras que realicen los usuarios.

En total ambas extensiones acumulan 1.6 millones de usuarios activos en todo el mundo; los desarrolladores han recurrido al uso del relleno de cookies de los 300 sitios web más visitados del mundo (según el Top 10000 de Alexa). Además, los expertos en seguridad de aplicaciones web creen que esta práctica ha generado millones de dólares en ganancias para los creadores de las extensiones.

Aún así no todo está perdido. Gracias a que este esquema fraudulento ahora es de conocimiento público, es posible que los propietarios de los programas de afiliados traten de rastrear el dinero generado por los hackers.

Por otra parte, los miembros del equipo de AdGuard, una de las más populares extensiones de navegador, consideran que las medidas implementadas hasta ahora por Google no podrán proteger a los usuarios de Chrome de la instalación de extensiones maliciosas. El más importante de estos cambios, conocido como Manifest V3, es una actualización en la política de uso de extensiones pensada para mejorar la seguridad y privacidad de los usuarios.

Especialistas en seguridad de aplicaciones web del Instituto Internacional de Seguridad Cibernética (IICS) consideran que una de las razones principales para que esta clase de extensiones aparezcan es que Chrome Web Store cuenta con muy pocas medidas de seguridad, por lo que cualquier clase de desarrollo puede aparecer disponible en la plataforma.

Pese al alto grado de exposición a este tipo de software, existen algunas medidas que cualquier usuario puede poner en práctica para mitigar el riesgo de instalar una herramienta desarrollada con fines maliciosos:

• Vale la pena preguntarnos un par de veces, ¿Realmente necesito esa extensión?
• Los anuncios pueden ser engañosos. En muchas ocasiones las descripciones de una extensión no cumplen con lo que ofrecen o nos ocultan información
• La sección de comentarios también puede ser engañosa; las extensiones analizadas en este artículo tenían buenas reseñas a pesar de que no funcionaban
• Usar el motor de búsqueda de Chrome Web Store no es lo más recomendable; si ya ha decidido instalar una extensión, asegúrese de descargarla desde el sitio web oficial de los desarrolladores

Read More

CASI 400 MILLONES DE ANÁLISIS DE RAYOS X EXPUESTOS POR DISPOSITIVOS MÉDICOS VULNERABLES EN TODO EL MUNDO

CONTENIDO ORIGINAL: https://noticiasseguridad.com/seguridad-informatica/casi-400-millones-de-analisis-de-rayos-x-expuestos-por-dispositivos-medicos-vulnerables-en-todo-el-mundo/

Después de que un grupo de especialistas en auditorías de sistemas realizara un análisis en los sistemas de almacenamiento de imágenes médicas conectados a Internet pública, se ha concluido que casi 600 servidores, ubicados en 52 países diferentes, carecen de las mínimas medidas de protección contra acceso no autorizado.

Acorde a los expertos, los sistemas analizados no cuentan con parches de actualización para protegerlos contra la explotación de más de 10 mil vulnerabilidades de seguridad, de las cuales, al menos 500 son fallas de alta severidad. El informe fue retomado por la plataforma especializada Bleeping Computer.

Los expertos en auditorías de sistemas, de la firma Greenbone Networks, analizaron más de 2 mil sistemas de archivado y transmisión de imágenes accesibles a través de Internet público, encontrando importantes inconvenientes que pueden provocar la exposición de información confidencial.

Estos sistemas, comúnmente conocidos como PACS, son empleados en la industria de los servicios médicos para el almacenamiento y distribución de información médica recuperada de dispositivos como máquinas de rayos X, de tomografías, entre otros dispositivos. Usando el estándar conocido como DICOM, estos dispositivos transmiten, almacenan, imprimen y muestran en pantalla las imágenes médicas.

Los expertos de Greenbone Networks emplearon motores de búsqueda de dispositivos públicos en la red e identificaron 590 servidores PACS a los que era posible acceder sin mayores contratiempos. Gracias a esto, los expertos encontraron más de 24 millones de registros médicos. Entre los detalles personales expuestos destacan:

• Nombres completos
• Fechas de nacimiento
• Fecha del análisis
• Tipo de imagen médica generada
• Nombre del médico responsable
• Institución médica
• Número de análisis por paciente

Los especialistas en auditorías de sistemas temen que un actor de amenazas pueda usar esta información para desplegar ataques de phishing y campañas de ingeniería social altamente elaboradas y dirigidas contra usuarios específicos para realizar fraudes de identidad, financieros, entre otras actividades maliciosas.

Los expertos usaron un dispositivo para visualizar DICOM con el objetivo de extraer la información de los servidores PACS abiertos, alcanzando una cifra de 399 millones de imágenes recuperadas. Entre los países donde más información expuesta se pudo encontrar destacan Estados Unidos, Italia, Francia, India y Brasil.

Como se menciona al comienzo, esta investigación concluyó que los sistemas analizados podrían ser impactados por más de 10 mil problemas de seguridad; alrededor del 20% de estas fallas tienen un alto puntaje de gravedad. “Cerca de 500 de estas fallas cumplen con las condiciones para ser consideradas críticas según la escala del Common Vulnerability Scoring System (CVSS)”, aseguran los expertos.

Por último, en la investigación se menciona que unos 40 servidores PACS envían datos a través de protocolos de conexión inseguros, como HTTP o FTP, en lugar de usar el protocolo DICOM, estándar en la industria. En otras palabras, cualquier usuario sin autenticación podría acceder a la información almacenada en estos servidores.

Especialistas en auditorías de sistemas del Instituto Internacional de Seguridad Cibernética (IICS) mencionan que, entre los riesgos de seguridad derivados de estos hallazgos se encuentran el robo de identidad, ataques de spear phishing o robo de información médica para acceder a medicamentos controlados. De forma individual, el valor de uno de estos registros médicos se ubica entre los 250 y 1000 dólares en foros de dark web.

Read More