BadTunnel: un fallo en Windows de 20 años de edad

Se descubre un fallo de seguridad que afecta a todas las versiones de Windows desde Windows 95 a Windows 10 y que podía permitir a cualquier atacante monitorizar por completo todo el tráfico de red generado por cualquier usuario del sistema operativo.

Por  karim rejali  12 hrs ago

En la ocasión de su parche Tuesday de junio, Microsoft ha corregido una vulnerabilidad de seguridad que afecta a todas las versiones de Windows actualmente soportadas. Como parte del boletín de seguridad MS16-077, esta vulnerabilidad no se consideró crítica y del tipo de elevación de privilegios.

Según Microsoft, el problema residía en la forma en que Windows maneja el descubrimiento de un proxy con el protocolo WPAD (Web Proxy Auto-Discovery Protocol) que se utiliza para localizar la dirección URL de un archivo de configuración mediante DHCP o DNS.

Resulta que este fallo afecta a las versiones de Windows que no reciben un soporte de Microsoft. Un problema presente desde Windows 95 hasta Windows 10 que no parece tan inofensivo.




Fundador de Xuanwu Lab de Tencent, Yu Yang - @tombkeeper - recibió la suma de $50.000 de Microsoft por este descubrimiento que él nombró BadTunnel. Está lejos de ser un desconocido para Microsoft puesto que ya se había incluido en su lista de investigadores que reportaron problemas de seguridad.

Él explica que BadTunnel es un nuevo modelo de ataque que permite una suplantación en redes donde se establecen las sesiones entre diferentes ordenadores con NetBIOS (que se utiliza principalmente por Microsoft). Esta técnica de ataque puede saltarse el firewall y la función NAT de traducción de dirección IP.

Naked Security (Sophos) resume así la situación: "BadTunnel les podría exponerse a los atacantes que no están en vuestra red, y sus cortafuegos no les salvarán, si no bloquean UDP en el puerto 137 (utilizado para NetBIOS) entre vuestra red e Internet". Falta de parche, este bloqueo, por tanto parece ser la única protección para las versiones más antiguas de Windows que están fuera del alcance del soporte de Microsoft.

En Forbes, Yang Yu, dijo que "esta es probablemente la primera vez en la historia que es posible crear un túnel para pasar a través de cortafuegos y dispositivos NAT, y atacar a los dispositivos de la Intranet directamente desde Internet".

Yang Yu asegura que para la operación, solo es suficiente que la víctima visita una maliciosa página web con Internet Explorer o Microsoft Edge, donde se abre un documento especialmente diseñado. El atacante puede desviar la solicitud del nombre NetBIOS para hacerse pasar por un servidor de impresión o archivo en la red local.

El investigador de seguridad presentará BadTunnel a principios del próximo mes de agosto en la conferencia Black Hat 2016 de Las Vegas.


FUENTE: -Netpuntocero.com

Windows 10 sí fuerza la actualización y no debería hacerlo

 

Por:  J.Pomeyrol 1 de junio, 2016

Si yo usara Windows, hace mucho tiempo que habría actualizado a Windows 10. No solo no desaprovecharía el periodo de actualización gratuita, que como se sabrá concluye el próximo 29 de julio; sino que habría saltado conforme el aviso hubiese aparecido en Windows Update.
Pero no uso Windows. Por eso en la trilogía de bienvenida que le dedicamos a la nueva versión del sistema operativo de Microsoft me tocó dar la alternativa, aunque lo cierto es, como digo, que si usara Windows ya habría actualizado a Windows 10. Y no es que me convenzan más las razones para hacerlo que las razones para no hacerlo, porque lo que más tiraría de mí es la propia novedad
Sin embargo, que no use Windows en mí día a día no significa que no lo haga de manera ocasional y la última vez fue la semana pasada. Obligado por las circunstancias, tuve que arreglar un PC con Windows 7 que ignorando el deseo del usuario, se actualizó a Windows 10 para quedarse seco como la mojama. Esto es, copias de seguridad vía USB en vivo y disco externo, reinstalación de Windows 7, actualización a Windows 10, volcado de los datos, configuración… Una tarde de lo más entretenida.
De por qué presiona tanto Microsoft con la actualización a Windows 10 ya hemos hablado en estas páginas y no conviene repetirse. Lo inaudito es que lo haga vulnerando la decisión del usuario. Más claro: que aparezca el aviso de actualización, se rechace y aun así comience la descarga e instalación automática. Y no es un mito, como se creía hasta ahora, y a la admisión de culpa de Microsoft -mayor evidencia que esa no hay- se le pueden sumar un buen montón de quejas.
En los últimos meses hemos recogido en MuyComputer historias de todo tipo relacionadas con la actualización forzada a Windows 10. Anteayer mismo las noticias venían de China, donde no están muy contentos con el ímpetu del gigante del software, que tiene tela; y en fechas inmediatamente anteriores hemos tenido dos ejemplos sobre la insistencia de Microsoft y la vuelta al lío. ¿Todo el mundo al que le ha pasado se lo inventa o se equivoca?
Siguiendo las publicaciones sobre el tema, pero sin usar Windows, yo no sabía qué pensar. De que el usuario medio es negligente en la administración de su sistema no tengo la más mínima duda, pero de ahí a rechazar una operación y que el sistema haga justo lo contrario hay un trecho. Y sé que eso ha pasado porque lo he visto.
Lo que no llegué a comprobar es, según se cuenta, si se insistió al punto de autoprogramar la actualización a Windows 10. A sabiendas de que Microsoft tendrá cubiertas las espaldas legalmente ante cualquier incidencia que provoque su software, la programación de la actualización al menos explicaría el fenómeno, que no lo justificaría.
Es decir, ¿no se supone que Windows es el sistema sencillo y amigable para con las masas? Entonces debería por encima de todo respetar la decisión del usuario en las cuestiones más elementales, como es negar la actualización cuando se pregunta, y no actuar por detrás. Repito: no es no, y un solo no del usuario debería superponerse a mil síes del sistema. En este caso no vale la despreocupación del usuario.
Y repito: Windows 10 es el presente y el futuro, mientras que las versiones anteriores son el pasado. Si usara Windows hace mucho que hubiera actualizado. Pero por deseo, no por obligación.


FUENTE: -MuyComputer