El ordenador más antiguo del mundo tiene más de 2000 años y algo muy importante que enseñarnos

Hace exactamente 115 años, dos buceadores despistados encontraron el ordenador más antiguo del mundo. Entre estatuas, vasijas y joyas, se dieron de bruces con una serie de engranajes de bronce que recordaban ligeramente a una caja de música.

El mecanismo de Anticitera es un aparato lleno de ruedas dentadas y engranajes encajados con una precisión sorprendente. Un nivel tecnológico que no habríamos de encontrar nada igual hasta, al menos, el siglo XVI y que nos sitúan ante lo que los historiadores de la tecnología consideran la primera computadora mecánica de la que tenemos noticia.

Tras la sorpresa inicial, los arqueólogos tuvieron claro que se trataba de una especie de reloj, calendario o calculadora. Había relatos lejanos de Cicerón y otros escritores romanos que hablaban de máquinas similares, pero pensábamos que era ciencia ficción. Ahora, con el cacharro en la mano, solo dudábamos si se trataba de un modelo del Sistema Solar, un astrolabio o, sencillamente, una versión grecolatina del Cubo de Rubik.

En 1959, Derek Price analizó con muchísimo detalle el dispositivo y descubrió que el mecanismo se utilizaba, efectivamente, para predecir la posición de las estrellas según la época del año. Es decir, se trataba de algo a medio camino entre un mapa (celeste) actualizable y un Google Maps del siglo III antes de Cristo.

En realidad, no dejaba de ser una computadora mecánica que ahorraba a los navegantes tener que hacer decenas de cálculos aburridos y facilitaban, por tanto, la navegación. Con algunas variables como el día del año, se podía llegar a la posición de las estrellas y muchas otras cosas.

Anuncios

Durante 10 largos años, un exploit en Steam hizo que sus usuarios estuvieran en riesgo ante posibles ataques

Tom Court, investigador de la firma de seguridad Context, acaba de publicar los detalles de un exploit que encontró en el cliente de escritorio de Steam. Se trataba de un vulnerabilidad grave que permitía a hackers tomar el control de todo el ordenador del usuario. Pero lo peor de todo es que dicho exploit estuvo presente durante los últimos 10 años, sin que nadie se hubiera dado cuenta.

De acuerdo al hallazgo de Court, se trataba de un error muy simple y muy sencillo de explotar por hackers, donde el principal problema fue que el software de Steam carecía de protección contra los nuevos desarrollos de exploits.

15 millones de usuarios estuvieron en riesgo

Según explica Court, esta vulnerabilidad pudo ser explotada y afectar a los más de 15 millones de usuarios de Steam, quienes habrían perdido el control de sus ordenadores, dejando al descubierto toda su información, incluidas las credenciales del sistema y otros servicios. La buena noticia es que hasta el momento no hay indicios de que algún hacker haya aprovechado este fallo de seguridad.

Court continúa explicando que Valve parcheó parte del problema en julio de 2017, de hecho eliminó la parte más peligrosa de la vulnerabilidad. Pero aún después de esa revisión, el software seguía presentando un fallo, aunque de menor alcance ya que éste sólo provocaba el colapso del cliente y el hacker sólo podía implementar código malicioso de forma remota en la máquina de la víctima.

De hecho, Court realizó un vídeo donde él mismo lanza la aplicación de calculadora de forma remota aprovechando esta vulnerabilidad.

Vídeo mencionado.

Twitter pide a sus más de 330 millones de usuarios que cambien sus contraseñas ante un fallo de seguridad

Pues llegó el momento de cambiar la contraseña de Twitter, ya que la compañía ha descubierto un supuesto error que hacía que todas y cada una de las contraseñas de sus usuarios se almacenaran dentro un registro interno como texto plano, sin ningún tipo de cifrado y ante los ojos de cualquier persona que tuviera acceso a dicho registro.

Twitter asegura que los primeros resultados de su investigación señalan que la información no salió de su sistema y por lo tanto no estuvieron expuestas. Sin embargo, hasta el momento no lo pueden garantizar y por ello piden que tomemos precauciones y cambiemos nuestra contraseña cuanto antes.

Más información aquí.

Hallan agujeros de seguridad en algunos cargadores de arranque de dispositivos Android

Algunos de los fallos de seguridad hallados permitirían a un atacante ejecutar código arbitrario como parte del cargador de arranque, pudiendo llevar a cabo ataques de denegación de servicio sobre el propio dispositivo. Además, dos de las vulnerabilidades abren la puerta a que un atacante con privilegios de root (administrador) pueda desbloquear el dispositivo y romper la Cadena de Confianza.

Los fallos de seguridad fueron descubiertos en cinco cargadores de arranque examinados por los investigadores a través de tres familias de chipsets, pudiéndose destacar los siguientes dispositivos:

– Huawei P8 ALE-L23, que usa un chipset HiSilicon.
– Nexus 9, que usa un chipset NVIDIA Tegra.
– Sony Xperia XA, que usa un chipset MediaTek.

Windows 10 y Server 2016 están protegidos. Las demás versiones de Windows no.

La vulnerabilidad en cuestión permitía a un atacante hacerse fácilmente con los hashes de las contraseñas de los usuarios sin necesidad de que el usuario haga nada.

Para poder explotar este fallo de seguridad, lo único necesario es que el atacante consiga copiar un archivo SCF malicioso dentro de una carpeta de acceso público de Windows dentro de una red local. Una vez que el archivo está dentro de esta carpeta, debido a un error misterioso que no han sido capaz de explicar desde Microsoft, el archivo se ejecuta automáticamente y, debido a su naturaleza del archivo, recopila el hash de la contraseña y lo envía a un servidor remoto controlado por piratas informáticos, hash que se puede romper fácilmente utilizando distintas herramientas disponibles para este fin.

Vulnerabilidad en TeamViewer.

Para llevar a cabo el ataque, tanto el visionador como el presentador deben de tener TeamViewer instalado en sus ordenadores y el presentador tiene que compartir el código de autenticación secreto con la persona a la que autoriza acceder a su escritorio.

Sin embargo, un usuario de GitHub llamado Gellin ha hecho pública una vulnerabilidad que permitiría al presentador (o sea, la persona que comparte su escritorio) obtener control absoluto sobre el ordenador del visionador (el que ve el escritorio compartido) sin su permiso.

Gellin ha publicado un código de prueba de concepto que consiste en un fichero DLL inyectable en C++, el cual se apoya en un anzuelo en línea (inline) y en una modificación directa de la memoria para cambiar los permisos de TeamViewer. El fichero inyectable puede ser aplicado tanto desde el lado del visionador como del presentador, aunque los resultados son diferentes:

– En caso de ser ejecutado desde el ordenador del visionador, el ataque le permite habilitar la característica “cambiar lados”, que solo está activo después de que un visionador haya autenticado el control con el cliente y haya iniciado el cambio de los lados.

– En caso de ser ejecutado desde el ordenador del presentador, el ataque le permite tomar el control del ratón y el teclado del visionador “sin tener en cuenta la actual configuración de control y los permisos del visionador.”

Janus, una vulnerabilidad que inyecta malware a las apps sin saltarse la verificación

Un fallo con las patas muy cortas

En Android una aplicación se compone de un archivo APK, el que a veces bajamos y descargamos cuando instalamos una app manualmente, que es básicamente un documento comprimido con bits aleatorios al comienzo y posteriormente contiene todos los archivos y datos de la aplicación. Por otro lado tenemos un archivo DEX, que hace de cabezal y es independiente de la verificación de la firma por lo que se puede modificar y añadir contenido.

Es decir, se puede instalar sin que nos demos cuenta una aplicación que sea idéntica a la que estábamos usando antes de actualizarla pero con alguna función maliciosa que no se ve a simple vista. Esta vulnerabilidad fue enviada a Google por parte de GuardSquare en verano y revisada en noviembre, publicándose el aviso en el boletín de seguridad de Android de diciembre.