SicurezzaInformatica

Falso messaggio dalla polizia

Prima provano a metterci paura con l'avvocato, quindi con il recupero crediti, poi cercano di indurci in tentazione con una pratica di rimborso, e ora i cyber-criminali mettono in mezzo addirittura la polizia - con tanto di nome e cognome del fantomatico poliziotto - che ci intima a collaborare per una presunta infrazione al diritto d'autore scaturita dal nostro PC.

Il messaggio arriva corredato da un file .zip protetto con password (per evitare i controlli degli antivirus a livello server), che al suo interno contiene un file .exe con il Trojan Win32/TrojanDownloader.Nurech.NAT

Diffidate.

Ecco il testo completo del messaggio, che arriva con l'oggetto Avviso 00098361420 - Polizia o Polizia - Avviso 98361420 (e possibilmente altri):

Avviso
Sono capitano della polizia Prisco Mazzi. I rusultati dell'ultima verifica hanno rivelato che dal Suo computer sono stati visitati i siti che trasgrediscono i diritti d'autore e sono stati scaricati i file pirati nel formato mp3. Quindi Lei e un complice del reato e puo avere la responsabilita amministrativa.

Il suo numero nel nostro registro e 00098361420.

Non si puo essere errore, abbiamo confrontato l'ora dell'entrata al sito nel registro del server e l'ora del Suo collegamento al Suo provider. Come e l'unico fatto, puo sottrarsi alla punizione se si impegna a non visitare piu i siti illegali e non trasgredire i diritti d'autore.

Per questo per favore conservate l'archivio (avviso_98361420.zip parola d'accesso: 1605) allegato alla lettera al Suo computer, desarchiviatelo in una cartella e leggete l'accordo che si trova dentro.

La vostra parola d'accesso personale per l'archivio: 1605

E obbligatorio.

Grazie per la collaborazione.

A caccia di soldi (rubati)

Di Ross Anderson ne ho già parlato diverse volte su questo blog. Recentemente si è occupato di phishing, con un documento commissionatogli dalla Federal Reserve e intitolato: Closing the Phishing Hole – Fraud, Risk and Nonbanks.

Nel documento Anderson analizza i percorsi che fanno i soldi per passare dalle mani dei legittimi proprietari a quelle dei phisher, e suggerisce di andare a colpire proprio tali vie per arginare il fenomeno delle frodi on-line.

Nel presentare il documento Anderson afferma: "It turns out that phishing is made easier by payment systems like eGold and Western Union which make the recovery of stolen funds more difficult."

Il paper è interessante da leggere, anche se il succo sta tutto in queste due frasi:

Fraudulent payments within the banking system can be pursued and recovered with a reasonable probability of success; but once stolen funds are used to buy transferable financial assets such as eGold, recovery becomes much harder. This suggests that much of the benefit that could be obtained from regulating nonbanks more closely can be got by greater transparency about counterparty risks.

Non deve stupire quindi se pochi giorni fa un grand jury statunitense ha accusato fra gli altri e-Gold di essere un mezzo per il riciclaggio di denaro sporco.

Patch Tuesday di Maggio

Microsoft ieri ha rilasciato ben 19 patch che risolvono altrettanti problemi di Internet Explorer, Office, Exchange e Windows, fra cui vulnerabilità critiche come la MS07-029.

Se non avete gli aggiornamenti automatici abilitati, le patch si scaricano da Microsoft Update (solo con Internet Explorer).

Giochi di guerra

I cadetti delle accademie militari USA vengono sottoposti ogni anno a una sorta di guerra informatica contro la NSA.

I militari preparano una rete di computer simulando una zona di guerra, mentre la NSA cerca di entrare sfruttando le vulnerabilità dei sistemi. Le squadre dei cadetti cercano di difendersi riparando i bug e le vulnerabilità dei loro sistemi e svolgendo il loro lavoro senza commettere errori. A seconda degli sbagli commessi dai giovani militari la loro accademia perde punti, che possono però essere incrementati svolgendo i compiti assegnati dalla NSA.

Ne parla il Marine Corps Times:

Seven years ago, cadets at West Point began working with the NSA to create an exercise that would simulate conditions if the military were required to set up an Internet system in a foreign country — just as cyber-soldiers have done in Iraq. The NSA acts as the opposing force, known as the “red cell,” and spends a week trying to take down virtual networks set up by each of the military academies for the event.

Interessante notare come tutto lo sforzo si basi sull'hardening dei sistemi, piuttosto che su tecniche di attacco:

The cadets don’t do any hacking themselves — it’s all defense. And they don’t attack or work with the other academies.

La memoria corre - non senza una punta di nostalgia - a un noto film che ha segnato un'intera generazione di informatici.

Codificare l'email nell'HTML per evitare lo spam (II)

Più di due anni or sono ho dato qualche consiglio per codificare gli indirizzi e-mail nelle pagine HTML onde evitare che essi cadano vittima degli e-mail harvester.

Oggi navigando sul sito di project honeypot (un progetto interessante di cui parlerò, se sarà il caso, fra qualche giorno) ho trovato questo altro metodo per inserire gli indirizzi sul Web in modo da renderli invisibili agli harvester: offuscarli con del codice JavaScript.

Scrivendo un indirizzo e-mail nella maschera proposta dal sito di project honeypot si otterrà il codice JavaScript da inserire nelle pagine web. Poiché i programmi di e-mail harvesting non elaborano lo JavaScript - vuoi per questioni di velocità, vuoi per evitare di rimanere fermi su del codice fallato o realizzato ad arte per bloccarli - essi salteranno a piè pari il codice contenente l'indirizzo e-mail, che tuttavia verrà visualizzato ai visitatori del sito come se niente fosse (posto ovviamente che questi ultimi abbiano il browser abilitato per eseguire codice JavaScript).

Il primo bootkit

A fare compagnia ai rootkit ora arrivano i bootkit.

SecurityFocus ha pubblicato un'intervista ai due autori indiani di Vbootkit, il primo rootkit che prende il controllo del sistema direttamente nella fase di boot:

A bootkit is a rootkit that is able to load from a boot-sectors (master boot record, CD , PXE , floppies etc) and persist in memory all the way through the transition to protected mode and the startup of the OS. It's a very interesting type of rootkit. All rootkits install when the OS is running because they use the OS' features to load (and also they use the Administrator privileges to install), but bootkits are different, they use the boot media to attack the OS , and thus survive. Vbootkit is a bootkit specific for Windows Vista.

Per inserire questo proof-of-concept nel sistema vi è bisogno dell'accesso fisico alla macchina, il che rappresenta ovviamente una importante limitazione. Ma una volta colpita una delle macchine in rete, in teoria il bootkit dovrebbe poter essere in grado di "infettare" anche le altre:

Now, just take another interesting scenario. vbootkit is running on a system in a company, it captures all MAC address, and at 00:00, in the silence of the midnight, the vbootkit system starts remote booting, and delivers the vbootkit code as boot code though PXE, so slowly and steadily, the whole organization gets going on vbootkit...

Una "feature" interessante dei bootkit è quella di consentire l'uso del sistema anche senza la famosa attivazione richiesta da Microsoft, cosa che mi fa pensare che potremmo iniziare presto a vederli nel mercato delle copie illegali del sistema operativo.

I due autori per ora non hanno rilasciato il codice sorgente al pubblico, fornendo tuttavia ai produttori di antivirus una stringa per il riconoscimento del programma.

Come entrare nel mondo della security (I)

Ricevo spesso e-mail da parte di ragazze e ragazzi che, con le dovute distinzioni, mi chiedono come entrare nel "mondo della sicurezza informatica".

Non potendo purtroppo portare il mio esempio, io che anche per ragioni anagrafiche nella security ci sono "nato dentro", ho dovuto immedesimarmi in un responsabile di azienda che oggi cerca un esperto di sicurezza informatica. Parlando con alcuni amici e conoscenti che lavorano nel settore sono emerse svariate considerazioni che pubblicherò a più riprese su questo blog.

La prima è che oggi, diversamente dal passato, non si hanno più scusanti: ora che le università hanno attivato corsi appropriati, si deve possedere un certificato di studio nella materia. Per chi non è ancora laureato consiglio un corso di laurea in sicurezza informatica, mentre chi ha già un diploma universitario dovrebbe provare con un master.

Quelli che seguono sono i primi che ho trovato, sicuramente ve ne sono altri:

Laurea triennale "Sicurezza dei Sistemi e delle Reti Informatiche", Crema

Master in "Sicurezza Informatica", Modena e Reggio Emilia

Master in “Sicurezza dei sistemi e delle reti informatiche per l'impresa e la Pubblica Amministrazione”, Roma

Master in "Sicurezza informatica e delle telecomunicazioni", Roma

Master in "Sicurezza delle Reti e delle Applicazioni in Rete", Venezia