SicurezzaInformatica

Lo spionaggio si farebbe strada a colpi di malware

Forbes ha un articolo che ipotizza una strategia cinese dietro ai continui attacchi da worm e trojan subìti dalle aziende occidentali, Usa e Regno Unito in testa.

Interessante un passaggio dell'articolo in cui si riporta un virgolettato di Marcus Sachs, direttore del SANS Internet Storm Center:

'Most of the credit card theft, money laundering and fraud is coming from Russia or former Soviet Union countries,' Sachs said.

'The Chinese seem to be a bit more clever in covering their tracks and are more likely conducting covert raids for corporate secrets, rather than chasing money like their Russian organized crime counterparts.'

Banche: come comunicare col cliente

Ho ricevuto oggi questo messaggio da PayPal (le XXXX sono mie):

Gentile Luca Sambucci,

La carta di credito le cui ultime cifre sono XXXX scadrà tra breve.

Per evitare qualsiasi interruzione del servizio, aggiorna la data di scadenza della tua carta di credito seguendo la procedura descritta di seguito. Se la data di scadenza della tua carta di credito non viene aggiornata

- potresti non essere più in grado di finanziare i pagamenti con questa carta;

Per aggiornare la data di scadenza della tua carta di credito:

1. Accedi al tuo conto PayPal.
2. Vai alla sottoscheda Profilo.
3. Clicca su Carte di credito nella colonna Informazioni finanziarie.
4. Scegli il pulsante di opzione accanto alla carta di credito che desideri aggiornare e clicca su Modifica.
5. Immetti il Numero di sicurezza della tua carta di credito.
6. Immetti il Numero di sicurezza della carta di credito.
7. Clicca su Salva.

Grazie per aver scelto PayPal.
Il team di PayPal

Assassinato a Mosca uno dei più attivi spammer russi

MosNews riporta una notizia secondo cui il trentacinquenne Vardan Kushnir, da molti considerato il più attivo spammer russo, sarebbe stato brutalmente assassinato nel suo appartamento di Mosca con ripetuti colpi sferrati alla testa.

L'indirizzo e i recapiti di Kushnir sono stati più volte diffusi al pubblico in diverse azioni di "contro-spamming", a cui avrebbero partecipato alcuni utenti stanchi di ricevere spam in cirillico. Tuttavia, da qui a ipotizzare che l'omicidio sia avvenuto per una sorta di vendetta legata allo spam ce ne corre.

Panoramica sul cybercrime

Il Wall Street Journal ha pubblicato ieri un interessante articolo che fa il punto sul cybercrime e sulle varie metodologie utilizzate.

Alcuni passaggi in evidenza:

Security experts are increasingly concerned about break-ins that come via a company's partners and vendors. These smaller companies often have privileged access to their larger partner's computer systems, but may not be as well protected.

...

[sugli attacchi alle infrastrutture critiche] Security experts say such power-control systems are unlikely to be the primary target of terrorists, who arguably are more interested in spectacular physical attacks that generate casualties. But experts are increasingly concerned that attacks on critical systems could be used in conjunction with more-violent tactics to compound the damage -- for instance, by disabling emergency-response systems.

...

In the future, security attacks will come out of thin air. Smartphones and some personal digital assistants boast always-on wireless connections and run more-sophisticated software than standard cellphones, making them susceptible to viruses, worms and data theft just like PCs.

Quasi tutto l'articolo si pone a un livello introduttivo, quindi è facilmente accessibile a tutti.

Phishing, tocca a UniCredit

Questa volta il phishing è stato fatto in maniera attenta. Il messaggio che sta arrivando in queste ore a molti utenti afferma che, dato il sovraccarico dei server, UniCredit Banca sta testando un nuovo indirizzo web (www.unicreditsbanca.com). Ovviamente i clienti sono invitati a inserire il loro username e password sul sito del nuovo indirizzo, e altrettanto ovviamente si tratta di una truffa bella e buona.

Il sito del phishing (211.168.106.163) si trova presumibilmente in Corea. Il messaggio, almeno nei casi che ho avuto modo di controllare di persona, arriva da un IP cinese.

Ecco il testo del messaggio:

Egregi clienti della banca UniCredit Banca via Internet Imprese, Vi informiamo
che in relazione al sovraccarico del nostro generale server http://www.unicreditbanca.it
la nostra zona tecnice e allargata con l'aggiunta di nuovo server attualmente
nella fase di test. L'indirizzo fisso del nuovo web server del servizio
online banking - www.unicreditsbanca.com
Tutti i clienti devono essere soggetti alla procedura obbligatoria d'autenticazione
al nuovo server per far transferire i Vostri dati d'utente con successo
alla base dei dati del nuovo piu protetto server del servizio online banking.

1. Aprite la web pagina http://www.unicreditsbanca.com
2. Entrate nel Vostro conto ondine usando la combinazione Codice i Pin.
3. Per evitare la perdita dei Vostri dati personali e per la protezione
contro assalti di "Phishing" si prega di sempre chiudere la finestra del
Vostro Internet Browser al termine di lavori con la banca ondine.

Distinti saluti, il servizio d'assistenza tecnica della banca ondine UniCredit.

Curiosamente, sul sito-truffa compare un avviso che invita gli utenti a non seguire i consigli dei messaggi di phishing. Questo perché il finto sito di UniCredit Banca copia le immagini direttamente dal sito originale.

Aggiornamento (20:21)
Oltre a scrivere la notizia sul blog, ho segnalato il problema a un mio amico che lavora in UniCredit Banca, che ovviamente era già a conoscenza del fatto. Poiché il sito-truffa usa link a immagini presenti sul vero server della banca, nella mia e-mail ho suggerito ai loro tecnici di variare le immagini del sito "originale" a seconda del http_referer (il sito di provenienza) modificandole con un warning nel caso il referer coincidesse con il falso sito, e facendo così apparire dei segnali di avvertimento sul sito di phishing. Il mio corrispondente non ha neanche fatto in tempo a leggere l'email, che i tecnici di UniCredit Banca hanno avuto la stessa identica idea, e in brevissimo tempo hanno messo in atto la trappola: ora sul falso sito appaiono diverse immagini che contengono la parola "CRACKED" a grandi lettere (immagine a fianco).

Sinceri complimenti ai tecnici di UniCredit per la rapidità!

Aggiornamento (20:53)
Naturalmente i phisher non hanno tardato a modificare di nuovo le immagini facendole sembrare reali (questa volta copiandole direttamente sul proprio server). Ora il sito-truffa ha nuovamente una parvenza di legalità, e il compito di chiuderlo spetterà adesso al provider coreano, ma che io sappia questo è stato il primo caso in cui una banca si è difesa attaccando direttamente il sito di phishing, anche se solo per pochi minuti.

Furto di dati bancari: nel mirino i dipendenti delle banche

L'attenzione degli istituti di credito si sposta verso i pericoli rappresentati dalla propria forza lavoro. Che si tratti di un impiegato ostile, o in buona fede ma disattento, il dipendente di una banca può essere causa di rischi tutt'altro che indifferenti per la sicurezza dei dati finanziari dei clienti.

Un'azienda di San Francisco specializzata in sicurezza e prevenzione afferma che il rischio di insider threat può sfiorare anche l'80%. Alcuni esempi recenti, come i casi che hanno visto coinvolti dipendenti di banche quali Wachovia e Bank of America, sembrerebbero confermare questa ipotesi.

Maggiori approfondimenti in questo articolo.

Un Trojan si spaccia per un alert Microsoft

Una variante del Trojan SDBot ha iniziato a circolare qualche giorno fa mediante spamming a indirizzi di posta elettronica di utenti a caso, all'interno di un messaggio che si spaccia per un bollettino di sicurezza proveniente da Microsoft.

Il messaggio in questione afferma di contenere un link alla patch che protegge i Pc da worm come Sober, Zafi e Mytob. Cliccando sul link all'interno del messaggio si andrebbe invece a scaricare il Trojan, ma fortunatamente il server sembra essere irraggiungibile da diversi giorni.

In passato altri worm si sono mascherati da patch di sicurezza di Microsoft, come ad esempio lo Swen.

Bisogna ricordare che Microsoft nei suoi messaggi include sempre un link alla pagina contenente il relativo bollettino di sicurezza, ma mai direttamente alle patch.

Ascii-spam-art

Stanno diventando sempre più frequenti i messaggi di spam come quello mostrato qui a fianco.

Per scavalcare i filtri anti-spam basati sul riconoscimento delle singole parole, gli spammer hanno iniziato a mascherare i loro messaggi usando tecniche tipicamente utilizzate nell'Ascii Art, ovvero quell'arte molto sfruttata nei primi anni della telematica per creare disegni usando composizioni di caratteri Ascii.

Questa ingegnosa tecnica potrebbe mettere a dura prova i filtri anti-spam, a meno che non li si cominci a dotare di routine Ocr...

Nessun Rss Worm all'orizzonte?

Pochi giorni fa Microsoft ha annunciato il supporto nativo di Rss (Real Simple Syndication, ovvero il modo con cui molti di voi seguono questo blog) nel nuovo sistema operativo "Longhorn" e su Internet Explorer 7. Questo favorirà probabilmente un uso più massiccio dei feed Rss, uso che oggi resta limitato prevalentemente alla fascia "blogger" dell'utenza Internet.

Questo utilizzo di massa potrebbe aprire le porte a una crescente diffusione di malware attraverso i feed Rss? Se lo chiedono Netcraft ed eWeek.

Questo articolo di due anni fa già ipotizzava diversi attacchi tramite feed Rss, ma ad oggi non ricordo alcun attacco particolare lanciato attraverso questo canale. Personalmente sono sorpreso di non aver ancora visto alcun Rss Worm in circolazione, neanche come proof of concept.

Intervista di Isacaroma Newsletter

Visto che siamo in tema di interviste, vi segnalo anche questa intervista che ho rilasciato a Isacaroma Newsletter qualche giorno fa. Parlo del progetto di questo sito, ma anche di altri aspetti legati al mondo della sicurezza ICT.