Una brecha en el software para el iPhone y el iPad de Apple puede permitir a los hackers crear aplicaciones que instalan secretamente programas para robar datos, enviar mensajes de texto o destruir información.

Charlie Miller, investigador de Accuvant Labs que identificó el problema, construyó un prototipo de un programa maligno para probar el problema. Añadió que el App Store, la tienda de Apple, no identificó el programa, que pasó el proceso de seguridad.

Aún no hay pruebas de que los hackers hayan explotado lavulnerabilidad del software iOS de Apple. Pero Miller dijo que su examen demostraba que podría haber auténticos programas diseñados para causar daño en el App Store.

‘Hasta ahora, podías bajarte de todo del App Store y no preocuparte de si era maligno. Ahora no tenemos idea de lo que una aplicación podría hacer’, dijo Miller.

Miller dijo que demostró su teoría creando una herramienta de seguimiento del mercado de valores, InstaStock, que fue programada para conectarse a su servidor una vez descargada, y luego descargar el problema que él quisiera.

(Para ver una demostración en vídeo de la técnica, se puede acceder a YouTubehttp://www.youtube.com/watch?v=ynTtuwQYNmk)

Apple no respondió a la petición de comentarios.

Miller, que en 2009 identificó una brecha en el sistema de mensajes de texto del iPhone que permitía a eventuales atacantes hacerse con el control remoto del dispositivo, dijo que había contactado con la compañía para informar de la vulnerabilidad. ‘Están en proceso de arreglarlo’, dijo.

Un fallo de seguridad en la aplicación del servicio de VoIP Skype para dispositivos iOS puede llevar a que la información personal de los usuarios sean robados por piratas informáticos. Esta vulnerabilidad está presente en las versiones de Skype para iOS 3.0.1 y anteriores.

   Se trata de la vulnerabilidad denominada cross-site scripting (XSS) permite a un atacante crear un código JavaScript malicioso que se ejecuta cuando el usuario ve un mensaje de texto en la ventana de chat de Skype. Este código se puede utilizar para acceder a cualquier archivo a la que la propia aplicación de Skype tiene acceso, como la libreta de direcciones del iPhone.

   Un miembro de la compañía de sistemas de seguridad AppSec Consulting, Phil Purviance fue quien descubrió esta vulnerabilidad en la aplicación para iOS y ha realizado un vídeo donde explica detenidamente este error.

   Según recoge TechCrunch, que se ha puesto en contacto con el equipo de Skype, desde la compañía están trabajando en este problema. "Estamos trabajando duro para solucionar este problema en la próxima actualización de Skype, cuyo lanzamiento es inminente", aseguran. Por otro lado, el equipo de Skype recomienda a los usuarios "mantener la precaución" y aceptar solo solicitudes de amistad de aquellas personas que son conocidas, además de "utilizar siempre el sentido común".

   La nueva versión 3.0.1 de Skype para iOS fue lanzada el pasado mes de febrero entre sus novedades destacaba la posibilidad de realizar videollamadas desde un dispositivo móvil de Apple a televisores que soporten esta tecnología. Por el momento los televisores Panasonic ‘Full-screen video calling’ y Samsung LED C7000 y C8000 son los únicos compatibles con este servicio.

   Enlaces relacionados:

   – TechCrunch (http://techcrunch.com/2011/09/20/skype-aware-of-xss-vulnerability-in-ios-apps-working-hard-to-fix-it/).

   – Vídeo (http://www.youtube.com/watch?feature=player_embedded&v=Ou_Iir2SklI).

Un reciente estudio de Symantec confirma que el iPhone es el terminal más seguro del mercado.

El estudio analiza los sistemas operativos iOS y Android concluyendo que "las características de seguridad del software de Apple, que alimenta el iPhone, el iPad y el iPod están mejor implementados que los de Android".

Sin embargo, Symantech como otras compañías de seguridad informática no analizan los "otros peligros" que acechan al usuario del iPhone. Hace unos días, el prefecto de Paris alertaba a los turistas que visitan la ciudad del alud de robos que se están produciendo en el transporte público de la capital francesa. El "70% de los productos robados, explicaba, son smartphones de última generación, en particular iPhones y Blackberrys". Otras ciudades europeas padecen situaciones similares.

En el periodo estival, los descuideros fijan su atención tanto en la cartera como en el móvil y más si este último es un iPhone, un Android o un Blackberry de fácil salida en el mercado negro.

Existen un sinfín de aplicaciones para iPhone que te van a permitir bloquear el móvil una vez que alguien te lo ha sustraído pero estas no te "aseguran" la recuperación de tu terminal y más cuando estas de paso en una ciudad y no tienes tiempo de andar a la búsqueda y captura del iPhone.

Como bien dice el refrán, más vale prevenir que curar y una buena solución es asegurar tu móvil. Cada vez hay más compañías de seguros que te permiten incluirlo en el seguro del hogar, como la póliza de Groupama hogar de Groupama seguros . Suelen ser soluciones menos complejas y más económicas que las pólizas especializadas ya que sus posibilidades son muy extensas cubriendo además desperfectos, accidentes y robos que podamos sufrir en nuestra casa.

Si te vas de viaje… un buen consejo asegura el móvil.

Una agencia de seguridad alemana ha informado de un problema de seguridad en terminales de Apple "los hace vulnerables a archivos PDF". Este problema, motivado por la liberación del jailbreak de iOS, afecta tanto a teléfonos como a tabletas.

   La herramienta denominada "jailbreak" permite desbloquear el contenido de terminales de Apple, y ser atacados con archivos maliciosos de PDF, lo que ha inducido al gobierno alemán a emitir una advertencia de seguridad a los consumidores.

   El jailbreak proporciona a los usuarios de iOS la libertad de liberar la aplicación que quieran, incluyendo software no autorizado de Apple. Pero éste también permite que sean modificados y distribuir malware (virus maliciosos) a los dispositivos de Apple, y no solo los ‘jailbreakados’.

   Tras la liberación de la herramienta, la agencia alemana ha emitido una declaración advirtiendo de las "debilidades críticas" que podrían facilitar a los atacantes acceso no restringido a un dispositivo de iOS si se abre cualquier archivo malicioso en PDF, según informa Cnet.

   Truddy Muller, una portavoz de Apple en Cupertino, California, declaró a CNET que la compañía está trabajando en poner solución al problema. Mientras tanto, Apple no facilita una solución a los clientes, ya que el jailbreaking anula la garantía de sus terminales.

   A pesar del peligro para la seguridad de los usuarios, Dev-Team y miembros de Comex, desarrollador de la herramienta, han reconocido en su web que "probablemente el impacto de estas vulnerabilidades de seguridad se queden en pura teoría".

   Los desarrolladores de JailbreakMe.com también han lanzado un parche llamado ‘Patcher PDF 2′ para solucionar la principal vulnerabilidad, y solo se puede instalar en dispositivos ‘jailbreakados’. Sin embargo, no garantizan poner remedio a esta vulnerabilidad hasta de que Apple lance una solución.

   La agencia alemana alertó a los usuarios de iOS para evitar la apertura de archivos PDF de origen desconocido, ya sea en archivos adjuntos de correo electrónico o en sitios web. En su declaración, la agencia también dijo que "los posibles escenarios de ataque incluyen la lectura de la información confidencial (contraseñas, datos bancarios, calendarios, correo electrónico, texto o información de contacto), así como el acceso a cámaras incorporadas, interceptación de las conversaciones telefónicas, y la localización GPS de los usuarios".

   Charlie Miller, consultor principal de investigación en Accuvant y experto de seguridad de Apple, explica que aún no se han conocido casos de infección por malware, pero "podrían ser muy graves", dijo.

   Una versión anterior de JailbreakMe.com también alarmó sobre una situación similar. Apple desarrolló poco después una actualización que puso fin al problema.

Piratas informáticos revelaron un error en el software de Apple que según expertos en seguridad podría ser explotado por criminales que busquen conseguir el control remoto de los iPhones, iPads y aparatos iPod Touch.

La falla de seguridad en el sistema operativo iOS de Apple se hizo pública ayer miércoles cuando el sitio en internet www.jailbreakme.com dio a conocer un código que los clientes de Apple pueden utilizar para modificar el sistema a través de un proceso conocido como "jail breaking".

Los aparatos de Apple sólo pueden descargar y ejecutar aplicaciones aprobadas por la empresa y el teléfono iPhone sólo puede utilizar las redes de compañías aprobadas por la firma, por lo que algunos clientes deciden recurrir al "jail breaking" para evadir esas limitaciones.

Expertos en seguridad advirtieron que piratas informáticos criminales podrían descargar ese código, aplicar ingeniería inversa para identificar una brecha en la seguridad del iOS y elaborar un software malicioso en pocos días. "Si eres un atacante malicioso, es posible hacerlo", dijo Patrik Runald, investigador de alto rango de la firma de seguridad en internet Websense.

La portavoz de Apple Trudy Muller aseguró que la empresa está al tanto del problema.

"Estamos desarrollando una corrección que estará disponible para los clientes en una próxima actualización de software", declaró Muller. Apple se ha opuesto claramente al proceso de "jail breaking", que al ser utilizado anula la garantía de sus aparatos.

Cualquier falla de seguridad en el software iOS, que opera el teléfono iPhone, el tablet iPad y el reproductor de música y video iPod Touch de Apple, tiene el potencial de afectar a millones de aparatos que están en el centro del negocio de la empresa.

Una de las alternativas de ataque que tiene los piratas informáticos es explotar la vulnerabilidad del iOS creando un documento PDF malicioso. Eso infectaría a los aparatos de Apple cuando el usuario intente abrir el documento, según Runald.

Una vez que el aparato esté infectado, los piratas informáticos podrían "hacer cualquier cosa que quieran", declaró Runald. Eso incluye robar claves secretas, documentos y correos electrónicos.

Por su parte, Comex, un pirata informático de 19 años del Estado de Nueva York que desarrolló la herramienta "jail-breaking",señaló que Apple podría sacar un parche para su software antes de que los "hackers" desarrollen programas que exploten la falla.

La última vez que él lanzó una versión de su software "jailbreaking", Apple pudo sacar un parche antes de que cualquier persona explotase el error con fines maliciosos.

Finalmente, éste aseguró que Apple podría no ser tan rápida en esta oportunidad. "No es tan difícil ocupar la ingeniería inversa", dijo a través de un llamado telefónico.

El grupo de ‘hacktivistas’ Anonymous ha violado los sistemas de seguridad de la red de Apple y ha robado 27 nombres de usuario y contraseñas del servidor de la compañía. La información ya ha sido publicada en pastebin, su web habitual, en una operación relacionada con su plan ‘AntiSec’.

   Anonymous se sigue tomando la justicia por su cuenta. Hace un mes anunció un plan en defensa de "la libertad y el progreso" por el que se responsabilizaba de atacar a cualquier gobierno o corporación del mundo que actuara en contra de los intereses de la humanidad.

   Se desconoce el motivo por el que el grupo ha atacado a la compañía de Cupertino, sólo se sabe que los datos referentes a 27 nombres y contraseñas de usuario pertenecían al servidor de encuestas online de Apple y han sido publicados en pastebin.

    Además, Anonymous ha emitido un ‘tuit’ en su cuenta de Twitter en el que hace referencia al ataque y en el que manda un mensaje a los de Steve Jobs: "No os preocupéis, estamos muy ocupados en otras cosas". Por su parte, en Apple, ni su fundador ni ningún portavoz de la compañía ha comentado nada de forma oficial sobre el ataque. Los responsables de prensa en España no han estado disponibles para facilitar información en relación a lo sucedido.

   Se rumorea que Anonymous podría haber efectuado el ataque con la ayuda de otro colectivo ‘hacker’, LulzSec, recientemente disuelto, que ya había atacado numerosos sitios como la web de la televisión norteamericana PBS, el Senado de Estados Unidos, el Departamento de Seguridad Pública de Arizona y el sitio web de una empresa asociada a la Oficina Federal de Investigaciones de Estados Unidos.

   A principios de este mes LulzSecurity afirmó en Pastebin que había violado los servidores de Apple iCloud, el servicio en la nube que había lanzado la compañía recientemente, pero el grupo nunca ha publicado información alguna sobre este episodio.

   Está última violación, que sólo contiene 27 nombres de usuario y contraseñas internas de Apple, es una cantidad relativamente pequeña de datos en comparación con los ataques a otras empresas, pero genera incertidumbre ante posibles ataques de Anonymous en un futuro.

   Enlaces relacionados:

   – Pastebin (http://pastebin.com/tkmZDG9m).

Los sistemas operativos móviles de Apple y Google, iOS y Android, respectivamente, han sido expuestos a distintas amenazas de virus y se ha deducido que los de Cupertino ganan la batalla de la seguridad al gigante de Mountain View en el campo móvil. Los de Steve Jobs son más resistentes a tres de las cinco amenazas a las que han sido expuestos los dispositivos.

   La compañía de seguridad Symantec ha querido poner a prueba los mayores sistemas operativos móviles del mercado. Para ello han hecho un experimento en el que someten a ambos productos a cinco de las amenazas más comunes en la red. Malware, pérdida de datos, los ataques basados en la web y ataques de ingeniería social o los controles de acceso son más eficientes en el software de la compañía de Cupertino.

   "Las características de seguridad del software de Apple, que alimenta el iPhone, el iPad y el iPod están mejor implementados que los de Android", ha concluido Symantec en un estudio recogido por el rotativo inglés The Telegraph.

   Muchos de los problemas de seguridad de Android provienen del enfoque abierto de Google para aplicaciones. Mientras que los desarrolladores iOS pagan por registrarse con Apple, que controla y aprueba su trabajo antes de que salga a la venta en la App Store, los desarrolladores de Android no se enfrentan las mismas barreras.

   "Google no parece realizar un análisis riguroso de las solicitudes de seguridad publicadas en su Android Marketplace", ha dicho Symantec en su estudio. "Esto significa que los autores de malware pueden distribuir sus aplicaciones a través de este canal de distribución con menos probabilidad de ser descubierto".

   Por otra parte, en la investigación se detalla que mientras que  existen muchas más vulnerabilidades descubiertas en IOS que en Android, más de 200 frente a 18, no se ha detectado malware que se haya aprovechado de ellas.

   El estudio sólo se ha realizado sobre los dispositivos que no han sido pirateados, porque éstos son más susceptibles a sufrir ataques de seguridad más severos y en algunos casos irreversibles.

   Mientras que el enfoque de Apple ha sido reconocido por Symantec como "más seguro que el de Google", la propia compañía de seguridad ha dicho que un smartphone o una tableta que ejecutan estos sistemas operativos "son menos inseguros que los de un PC".

   Por último, Symantec concluye en su estudio que BlackBerry de RIM es considerado ampliamente como la plataforma de teléfono inteligente más segura, ya que puede ser controlada estrechamente por los departamentos de TI y ha recibido la acreditación del gobierno.

   Vía:

- The telegraph (http://www.telegraph.co.uk/technology/apple/8604093/Apple-iOS-beats-Google-Android-on-security-says-research.html).

Daniel Spitler, un pirata informático, se declaró culpable de un ataque a los servidores de la compañía telefónica AT&T y la publicación de información personal de unos 120.000 usuarios de iPad, informó el Departamento de Justicia.

Spitler, de 26 años, admitió su culpabilidad a los cargos de fraude y piratería cibernética, dijo la portavoz de ese Departamento, Rebecakh Carmichael, quien precisó que el joven encara penas de un máximo de 10 años en prisión.

Pero, bajo un acuerdo con la Fiscalía en Nueva Jersey por el cual Spitler se declaró culpable, las autoridades recomendarán una sentencia de 12 a 18 meses.

Spitler es uno de dos hombres acusados por el ataque de junio de 2010 que avergonzó a Apple y AT&T y atrajo la atención internacional sobre el grupo de “hackers” Goatse Security.

El otro sospechoso, Andrew Auernheimer, sigue negociando un acuerdo por el cual se declarará culpable.

Cuando ocurrió la incursión, los piratas de Goatse afirmaron que simplemente procuraban llamar la atención de AT&T sobre las brechas del sistema de seguridad en su sitio de internet.

Los individuos descubrieron que cualquier persona podía hacer preguntas al sitio y obtener la dirección electrónica y los números de identificador de la tarjeta de circuito integrado (ICC-ID) de los usuarios de iPad.

Según los documentos presentados ante la justicia, los sospechosos escribieron un guión que hacía preguntas sobre los números ICC-ID (que se usan para identificar la tarjeta de comunicación en el iPad) y sometieron las preguntas al sitio de internet de AT&T.

Así, el grupo descubrió las direcciones electrónicas de miembros de las Fuerzas Armadas, políticos y dirigentes empresariales incluidos el alcalde de Nueva York, Michael Bloomberg y el ex jefe de gabinete de la Casa Blanca Rahm Emanuel.

La aplicación de mensajería instantánea Whatsapp se ha hecho tan popular que no podía tardar en recibir spam. Los primeros mensajes en cadena, alertando de un falso corte del servicio, han comenzado a aparecer en la aplicación móvil. Usuarios de distintos sistemas, Android e iOS, están recibiendo mensajes en cadena en los que se les alentaba a difundir el texto entre sus contactos.

Los mensajes en cadena son ya un clásico de servicios de correo como Hotmail. La mayoría de los usuarios ha recibido alguna vez un mail en el que se anunciaba el cierre de su cuenta de correo a no ser que mandase el mismo mensaje a todos sus contactos. Este tipo de spam suele ser reconocido y no se difunde. Con las nuevas aplicaciones y servicios móviles, los responsable de este tipo de malware han llevado a los teléfonos este tipo de prácticas.

Esta semana se han producido los primeros envíos de mensajes en cadena falsos distribuidos a través de la aplicación de mensajería instantánea Whatsapp. Se trata de una aplicación muy popular entre los propietarios de ‘smartphones’ con conexión a Internet. Por ejemplo, en el caso de iOS, es la aplicación número uno en la lista de las más populares en la categoría de pago.

Este éxito parece haber seducido a piratas informáticos y responsables de malware, que han comenzado una campaña de spam en el servicio. El método utilizado es el de los mensajes en cadena. Los usuarios recibirán un mensaje de un contacto o un número desconocido en Whatsapp como el que se puede ver en el fotografía.

En el mensaje, se asegura que los servidores de Whatsapp han estado saturados y que se va a proceder a una tarea de mantenimiento. El mensaje incita a los usuarios a reenviar el texto a sus contactos con el fin de difundir la noticia. En caso contrario, promete que Whatsapp dejará de estar operativo.

El mensaje es falso. La actualización no se produce y no se cierra el servicio para los usuarios que no manden el mensaje. Según un portavoz de la compañía de seguridad GData, “este tipo de mensajes falsos ya se producían en los PC y ahora se pasan a los móviles porque los responsables se han dado cuenta de las posibilidades de estos dispositivos”.

Desde Whatsapp han confirmado la falsedad de la carta mediante un ‘tweet’.

Una compañía Rusa de Software ha creado un programa cuya única función es acceder al ‘backup’ de BlackBerry y dispositivos iOS, protegidos por contraseñas, para poder obtener los datos referentes a agendas, fotos, registro de llamadas, contactos, etc. Su uso es "forense" y está disponible para el público en general.

   ElcomSoft Co.Ltd ha presentado su ‘Phone Password Breaker’, una herramienta diseñada para recuperar la contraseña original de texto plano protegiendo las copias de respaldo codificadas (‘backup’) de dispositivos de Apple y Research In Motion (RIM).

   Este programa soporta todos los modelos con sistema operativo iOS, lo que supone poder utilizarlo tanto con un iPhone, como con un iPad o un iPod Touch. Además, en cuanto a los ‘smartphones’ de RIM, las BlackBerry, también pueden ser descifradas con este programa.

   Según su página oficial, Elcomsoft Phone Password Breaker es el "primer producto de recuperación de contraseñas que cuenta con aceleración GPU además de ser es un producto único diseñado para leer y descifrar keychains" (contraseñas guardadas de cuentas de correo electrónico, páginas web y las aplicaciones independientes) de copias de respaldo protegidas por contraseñas.

   Elcomsoft Phone Password Breaker no necesita Apple iTunes o Blackberry Desktop Software, así que no hay necesidad de instalar estos productos. Todas las operaciones de recuperación de contraseñas se realizan "offline" y con la expresa presencia del dispositivo, lo que imposibilita el trabajo remoto.

   Según Elcomsoft, esta herramienta admite "un avanzado ataque de diccionario con permutaciones personalizables". Acorde a las múltiples investigaciones de seguridad, "la mayoría de los usuarios eligen contraseñas que representan palabras que tienen sentido y por eso les son mas fáciles de recordar". ElcomSoft Phone Password Breaker es capaz de recobrar cada contraseña y sus variantes "rápida y eficientemente sin importar el idioma utilizado".

   A pesar de esta funcionalidad, la compañía advierte que es un producto pensado para acciones "forenses" e insiste en que no tiene "capacidad para eliminar la contraseña de iPhone, desbloquearlo, o cambiar el código PIN"

   Este software sólo es posible instalarlo en las diferentes versiones del sistema operativo de Windows. No soporta Mac o Linux. Su precio en el mercado es de 79 euros y está disponible en su página web.

   Enlace relacionado: Elcomsoft (http://www.elcomsoft.es/eppb.html).