Cómo se ve un banco vulnerable a #HeartBleed
Nota: esta información sobre la vulnerabilidad HeartBleed en un banco argentino fue provista por un lector de Segu-Info quien amablemente nos ha falicitado las capturas de pantalla y ha informado al banco vulnerable, quien por su lado ya ha solucionado la vulnerabilidad.
Sebastián Magof, Security Researcher independiente de Argentina puso a prueba la seguridad de un banco argentino. En este caso su sitio de banca empresarial era vulnerable a Heartbleed. La herramienta utilizada para probar la existencia del bug fue Metasploit con el Modulo "openssl_heartbleed.rb".
En este caso se puede ver como el módulo informa sobre la existencia de la vulnerabilidad:
A continuación se puede ver los 64KB de información que se vuelca desde memoria del servidor. En este caso se muestra la información de acceso -nombre de usuario y contraseña- de una persona que estaba accediendo al banco:
Esto es sólo un ejemplo más de lo crítico de la vulnerabilidad, por lo que una vez más llamamos a tomar conciencia sobre ella e instalar la actualización inmmediatamente.
Como usuario también es recomendable cambiar todas las contraseñas utilizadas, sobre todo si son servicios sensibles, como el bancario y el financiero.
Actualización: luego de comunicarnos con el banco afectado, podemos confirmar que la vulnerabilidad ha sido solucionada y agradecemos la predisposición de todo el personal.
Cristian de la Redacción de Segu-Info
Sebastián Magof, Security Researcher independiente de Argentina puso a prueba la seguridad de un banco argentino. En este caso su sitio de banca empresarial era vulnerable a Heartbleed. La herramienta utilizada para probar la existencia del bug fue Metasploit con el Modulo "openssl_heartbleed.rb".
En este caso se puede ver como el módulo informa sobre la existencia de la vulnerabilidad:
Como usuario también es recomendable cambiar todas las contraseñas utilizadas, sobre todo si son servicios sensibles, como el bancario y el financiero.
Actualización: luego de comunicarnos con el banco afectado, podemos confirmar que la vulnerabilidad ha sido solucionada y agradecemos la predisposición de todo el personal.
Cristian de la Redacción de Segu-Info
Excelente por parte de Sebastián, por mi parte hice un aporte similar a la administración pública, hace unos días. Me sorprendió la velocidad con la que algunos solucionaron el problema, otros en cambio se desentienden completamente lamentablemente.
ResponderBorrarSaludos