Novedades de la semana: CMS y fraude

Actualizaciones y vulnerabilidades en CMS

Los CMS son el corazón de la mayoría de las páginas web, por lo que es importante conocer siempre el estado de este software.

Por un lado, tenemos Joomla, el cual ha presentado el Release Candidate 1 para su versión Joomla 4.2 (la cual tiene previsto su lanzamiento el día 16 de agosto).

¿Pero qué es un Release Candidate? Es una versión de prueba para que los usuarios y desarrolladores puedan ver la versión antes de su lanzamiento, de este modo los desarrolladores pueden verificar el correcto funcionamiento de sus extensiones y reportar cualquier error y los usuarios pueden descubrir las nuevas características. En esta versión ya no se van a añadir más opciones, por lo que se trata de una manera de testear y arreglar cualquier error que pueda haber para hacer que la versión final sea estable.

Por otro lado, Wordfence, uno de los plugins de seguridad más conocidos y usados para WordPress, ha detectado un aumento en los ataques al plugin premium Kaswara Modern WPBakery Page Builder. Se trata de un ataque a una vulnerabilidad que permite a atacantes sin autentificar subir archivos PHP maliciosos a un sitio WordPress y así ejecutar código remoto para hacerse con el control del sitio.

Esta vulnerabilidad lleva reportada desde el 21 de mayo de 2021, pero desde ese momento el plugin ha sido cerrado y el desarrollador no ha comentado nada respeto a un parche para corregir esta vulnerabilidad. Se estima que entre 4.000 y 8.000 sitios aún utilizan este plugin, por lo que se recomienda a los usuarios que aún lo tengan, buscar una alternativa, puesto que es poco probable que reciba una actualización para esta vulnerabilidad crítica.

Broma de Tiktok usa una táctica real de fraude

La empresa de seguridad Kaspersky ha compartido detalles de una broma viral de TikTok en la que los usuarios llaman a sus amigos usando un programa para simular la voz de un contestador automático y comunicarles que se les va a cobrar una gran suma de dinero. Los expertos advierten que este reto es un fraude real conocido como vishing que está siendo usado por cibercriminales.

La palabra vishing es la abreviatura de voice phishing, y consiste en la práctica de convencer a un afectado para que llamen al atacante y revelen información personal como datos bancarios. Al igual que en los casos de phishing, este fraude suele empezar con un correo electrónico.

La diferencia está en que los emails de phishing piden a la víctima acceder a un enlace, mientras que en el vishing piden que se llame con urgencia al servicio de atención al cliente a través de un teléfono proporcionado en el mensaje, puesto que cuando se habla por teléfono es más fácil no fijarse en detalles sospechosos. Los expertos de Kaspersky indican que entre marzo y junio de este 2022 se han detectado casi 350.000 emails de vishing.

Curiosamente, los TikTokers están repitiendo estas prácticas fraudulentas, con la diferencia de que no envían un correo electrónico y su objetivo no es conseguir datos personales para fines ilícitos, puesto que su objetivo es crear contenido.

La llamada se gestiona a través de una voz de contestador generado con un traductor online. La llamada empieza presentándose como el servicio de atención al cliente indicando que han recibido una comanda por parte de la víctima por valor de varios miles de dólares y pidiendo confirmación.

Sin importar la respuesta de la víctima, la siguiente respuesta del contestador siempre será: ‘Gracias, su pedido ha sido confirmado’, lo cual conlleva a que la víctima entre en pánico, puesto que en la mayoría de los casos la víctima no llega a poder distinguir quién está al otro lado del teléfono: un bromista, un atacante o un especialista en seguridad del banco.

Eliminadas docenas de aplicaciones por contener malware

Recientemente, Google ha tomado medidas para eliminar docenas de aplicaciones fraudulentas de la Play Store oficial debido a que se ha detectado que estaban propagando malware de las familias Joker, Facestealer y Coper. Aunque el mercado de Android es considerado una fuente fiable para descubrir e instalar aplicaciones, los atacantes siguen encontrando maneras de burlar las barreras de seguridad.

Se han identificado un total de 53 aplicaciones para descargar Joker, un malware diseñado para suscribir a las víctimas a servicios de pago no deseados o hacer llamadas a número de pago mientras que recopila los datos de mensajes SMS y listas de contactos del dispositivo afectado.

Este tipo de aplicaciones fingen ser editores de fotos, monitores de presión sanguínea, teclados de emoji, traductores y aplicaciones de SMS, y se han descargado más de 330.000 veces.

Otras de las aplicaciones contenían malware Facestealer, que permite robar credenciales de Facebook, y Coper, un troyano bancario empleado para robar una gran variedad de datos personales.

Este malware se ha descargado con las siguientes aplicaciones:

Vanilla Camera (cam.vanilla.snapp)
Unicc QR Scanner (com.qrdscannerratedx)