SicurezzaInformatica

Anatomia di un phishing

GonzoBanker ha un interessante articolo che illustra, minuto per minuto, la risposta di una banca americana a un phishing proveniente dall'estero. Dalla prima segnalazione all'helpdesk fino alla chiusura dei server col sito clonato (avrà aiutato non poco il fatto che questi ultimi si trovassero tutti negli USA).

Rompere la crittografia dei RFID di Texas Instruments

Un team di studenti e ricercatori della John Hopkins University ha dimostrato come sia possibile rompere la cifratura dei DST (Digital Signature Transponder) tag di Texas Instruments. Questi chip RFID vengono oggi utilizzati negli USA in almeno un sistema di pagamento e in un apparato antifurto "immobilizer".

Alla base della vulnerabilità una chiave troppo corta:

The TI system does indeed employ an encryption algorithm at its core. The key for this algorithm, however, is only 40 bits long. This is too short to withstand a brute-force computing attack. The number of possible 40-bit keys is 1099511627776. This seems like a large number, but with a fast computer it is today possible to try all of these possibilities exhaustively and thereby recover the secret key of a cryptographic system.

Secured phishing: arriva la frode con il lucchetto giallo

Uno dei tanti consigli delle banche alla propria clientela è quello di diffidare dei siti bancari senza il "lucchetto giallo" in basso a destra, che indica la presenza di una connessione sicura.

C'è anzitutto da segnalare che molti siti bancari (ad esempio Fineco) già da tempo hanno rinunciato a far apparire il lucchetto standard, poiché suddividendo il proprio sito in frames hanno preferito tenere parte delle pagine al di fuori della connessione SSL. La decisione è dettata anche da ragioni di praticità, infatti una pagina crittografata si caricherà sempre più lentamente di una pagina normale.

Un'altra "spallata" alla regola d'oro del lucchetto la sta dando una nuova tattica (non ancora apparsa in Italia, ma non penso che dovremo attendere ancora a lungo) definita "secured phishing". In cosa consiste? Niente di più facile: il sito di phishing viene caricato col protocollo https, mentre il lucchetto di "sito sicuro" fa la sua magica comparsa in basso a destra grazie a un certificato auto-firmato.

A onor del vero questa tattica l'avevo usata nel Novembre 2004 in un tutorial di Mondadori, dove avevo replicato un sito di e-commerce (falso, ovviamente) usando un server provvisto di cifratura SSL e certificato digitale. Il punto è che nessun utente verifica il lucchetto facendoci doppio clic sopra e controllando che il certificato sia in regola, quindi la sola presenza del segnale di "sito sicuro" è sufficiente per far abbassare le difese a una larga fetta di navigatori.

Da ricordare: la presenza del lucchetto vuol dire unicamente che - se non avete la sfortuna di essere vittima di un attacco man in the middle - vi sarà una buona probabilità che i dati fra il vostro PC e il server viaggino in modalità cifrata. Punto. Il solo lucchetto non certifica che il server di destinazione sia legittimo.

Spyware, backdoor e rootkit insieme

Ecco una storia interessante che racconta come una backdoor, l'Haxdoor-DW, possa arrivare sul PC, installarsi in maniera completamente automatica sfruttando una nota vulnerabilità di Windows (MS05-001) e coprire le proprie tracce con tecniche che dieci anni fa avremmo definito stealth (oggi si chiamano "rootkit").

A chi non è appassionato di racconti stile James Bond consiglio di passare subito al capitolo From Russia With Love. Lì la "trama" inizia a farsi interessante.

Input validation error per il sito Fineco

Quando ho svolto la mia indagine sul recente phishing contro Fineco la notizia è arrivata anche su Punto Informatico, dove un rappresentante della banca ha rassicurato gli utenti sulle misure di sicurezza dell'istituto di credito.

Come ogni tanto accade, i commenti nei forum di PI nascondono "chicche" che vale la pena mettere in evidenza. In questo caso particolare, un assiduo utente della community ha scoperto un errore di Input validation sul sito Fineco, e per dimostrarlo ha creato una simpatica pagina che potete visualizzare cliccando qui.

Non c'è bisogno di clonare il sito: tutto si svolge sui server di Fineco, la pagina del "finto phishing" infatti viene creata ad-hoc con istruzioni direttamente nella URL (guardate bene quest'ultima e troverete del codice HTML).

Ovviamente in questo caso lo scherzo è evidente, ma una pagina leggermente più convincente potrebbe mietere diverse vittime.

Symantec compra un'azienda anti-phishing

Il colosso della sicurezza Symantec ha fatto un po' di spesa nel settore anti-phishing acquistando WholeSecurity, una piccola azienda specializzata in soluzioni contro le frodi finanziarie.

Già in passato Symantec ha acquisito diverse piccole aziende produttrici di soluzioni e software innovativi, integrando poi questi ultimi nelle proprie suite di sicurezza.

Un trojan per cellulari che infetta i PC

F-Secure ha scoperto Cardtrap.A, un trojan per il sistema operativo Symbian che cerca di infettare i PC con i worm Korgo (alias Padobot) e Wukill.B (alias Rays).

Una volta attivo il trojan installa questi due worm per PC sulla scheda di memoria del cellulare, contando sul fatto che molti utenti estrarranno la scheda dal telefonino per collegarla al computer e procedere così alla disinfezione.

Nella scheda sarà presente anche un file chiamato autorun.inf, che in teoria dovrebbe lanciare automaticamente il worm Korgo (in realtà Windows XP Sp2 non lancia gli autorun dalle schede di memoria). Il file del worm Wukill invece tenterà di mascherarsi in forma di cartella col nome "System", mostrando la stessa icona di una directory, al fine di indurre l'utente a cliccarvi per errore.

Cardtrap è il primo malware per cellulari che tenta di attaccare anche i PC, un indizio di come gli attacchi a PC e dispositivi mobili stiano iniziando a convergere. Non dimentichiamo che oggi molti PC (soprattutto notebook) iniziano a essere prodotti col Bluetooth già integrato.

Falso positivo per un phishing, il provider se la cava

Può capitare che le ricerche "euristiche" delle toolbar anti-phishing identifichino come potenzialmente fraudolento un sito in realtà appartenente a una normale banca. Questo aprile l'errore è capitato a Scamblocker, un servizio del provider statunitense Earthlink, che ha segnalato un warning per il normalissimo sito web di Associated Bank.

La banca ovviamente si è risentita, e altrettano ovviamente ha fatto causa a Earthlink per chiedere i danni.

La scorsa settimana il giudice distrettuale competente ha respinto la denuncia. Earthlink se l'è cavata con un cavillo: il provider non era il vero responsabile dell'informazione errata, bensì solo il veicolo con il quale essa è arrivata agli utenti. Potete leggere la decisone del giudice qui.

The Six Dumbest Ideas in Computer Security

Marcus Ranum ha pubblicato un editoriale intitolato The Six Dumbest Ideas in Computer Security, le sei idee più stupide nella sicurezza ICT.

Si tratta di un testo semplice che delinea i concetti base, d'accordo, ma una rinfrescata anche agli esperti di IT security non farebbe male.

Vulnerabilità per TWiki

È stata scoperta una vulnerabilità abbastanza seria per TWiki, la popolare piattaforma groupware usata da moltissime aziende e gruppi di lavoro. Un hacker ostile potrebbe sfruttare la vulnerabilità per ottenere i privilegi del web server sulla macchina colpita.

Data la grande diffusione del software c'è chi già pensa alla possibile comparsa - fra pochi giorni - di un worm con un exploit automatico.

L'hotfix è disponibile qui, mentre qui potete trovare alcune utili signature per Snort.