SicurezzaInformatica

2010: PDF con sorpresa

Il nuovo anno si apre con un PDF che, sfruttando una vulnerabilità non ancora risolta in Adobe Reader (CVE-2009-4324), consente di "infettare" il PC semplicemente aprendo il documento contenente il malware. Poiché il PDF è già in circolazione (molta gente si sente erroneamente al sicuro quando apre un documento in formato PDF) consiglio di disabilitare il JavaScript sul proprio Adobe Reader fino a che non verrà rilasciata una patch per la vulnerabilità.

Maggiori informazioni presso l'Internet Storm Center.

Secondo worm per l'iPhone

Stanno arrivando le prime minacce concrete all'iPhone di Apple. Dopo il primo worm di qualche settimana fa - praticamente innocuo - ora i telefoni "jailbroken" con la password di default sono vulnerabili a un nuovo malware.

Da BBC News:

A second worm to hit the iPhone has been unearthed by security company F-Secure.

It is specifically targeting people in the Netherlands who are using their iPhones for internet banking with Dutch online bank ING.

It redirects the bank's customers to a lookalike site with a log-in screen.

The worm attacks "jail-broken" phones - a modification which enables the user to run non-Apple approved software on their handset.

The handsets at risk also have SSH (secure shell) installed.

Many people use SSH so other programs can remotely connect to an iPhone and, among other things, transfer files. It comes with a default password, "alpine" which should be changed.

Only users who have installed SSH and not changed the password are at risk.

The new worm is more serious than the first because it can behave like a botnet, warns F-Secure.

This enables the phone to be accessed or controlled remotely without the permission of its owner.

Intervista ad Aproweb

Segnalo un'altra intervista dove affronto tematiche generali su virus e anti-virus, rilasciata ad Alice Milia di Aproweb in occasione del 58mo premio VB100 ottenuto da NOD32.

Un Trojan sfrutta la vittoria di Obama

... e la disfatta di McCain.

Il giorno dopo l'elezione di Barack Obama a 44mo presidente degli Stati Uniti, è stata registrata la diffusione di un massiccio spam che tenta di indirizzare gli utenti verso un sito istituzionale americano (in realtà un falso) contenente il discorso di Obama a commento dei risultati elettorali.

L'oggetto del messaggio di spam include una delle seguenti frasi:

A new president, a new congress ...
Barack Obama wins
Can Obama win popular vote but lose election?
Did Obama Win Yet?
Election 2008: Time lapse of U.S. counties
Election Center 2008 - Election Results
Election Night Results
Fear of a Black President
New president's
Obama win an Electoral College majority
Obama win Defined by Race
Obama win preferred in world poll
Obama win sets stage for showdown
Obama Wouldnt Be First Black President
Obama's Win Reshapes the Race
Priorities for the New President
Priorities for the New President - TIME
The new President's cabinet?
USA Election 2008 Results
Will American Voters Elect a Black President
World Welcomes Obama's Win

E facendo clic sul link si apre un sito come questo: 

Per visualizzare il discorso di Obama il sito chiede all'utente di scaricare il file "Adobe_flash9.exe" che si spaccia per un viewer Adobe Flash, ma che in realtà contiene un trojan keylogger.

Il Trojan cattura quindi i tasti premuti dall'utente durante i vari log-in effettuati su Internet, e li invia a un computer corrispondente a un indirizzo IP ucraino, ovviamente con lo scopo di rubare password e altre informazioni preziose.

---

Pochi giorni dopo un altro spam prende di mira i delusi repubblicani, insinuando il dubbio che Obama non sia stato eletto in maniera pulita, e che arriva in mailbox con uno dei seguenti oggetti:

Barack Obama can lost presidents chair
Barack Obama can lost President's Chair
Barack Obama in Danger - McCain will fight for president post
Barack Obama president resignation - 23/7 News
From Billy Mccain
IMPEACH Barrack Obama | USA government news
McCain Lawmakers Impeach Obama
McCain Lawyers Want to Stop Obama
McCain said today: 'Impeach Obama'
McCain strike against Obama political way
McCain vs Obama - There is a higher potential for confrontation between opposing political forces
McCain want to stop Obama
Moms who voted for Obama
Obama faces impeachment
Obama Impeachment Resources: McCain Look at the Impeachment Process
Obama vs McCain 'Political Strike' May Undermine Labor Group
Scandal: Obama Resignation Letter
Scandal: Re-elections John McCain Will be a Dictator?
Scandal: Re-elections John McCain will defeat Barack Obama
Scandal: Re-elections McCain will win
Scandal: Re-elections Obama: McCain Will Close With Attacks
Scandal: Re-elections Why John McCain will keep fighting
Scandal: Re-elections Why McCain Will Win
The Impeachment of new president Obama
Video: Obama post-resignation speech
Why MccAin Want to Stop Obama From president vacancy?
WScandal: Re-elections hich John McCain will show up to debate?

Il link nel messaggio indirizza l'utente verso un sito che conterrebbe un intervento di McCain:

Anche qui la storia è la stessa: all'utente viene chiesto di scaricare un file per visualizzare correttamente il video, file che invece contiene un Trojan molto simile a quello precedente, che invia le informazioni rubate allo stesso computer in Ucraina.

Il malware si nasconde nel computer con il nome \9129837.exe, e viene lanciato ogni volta che si avvia Internet Explorer.

---

Smartphone a rischio? Oggi, forse, sì

Leggevo un articolo apparso pochi giorni fa su Mercury News, che per inciso è uno dei giornali più letti di Silicon Valley, sui pericoli che si apprestano a correre i nuovi smartphone, fra virus, worm & co.

La sensazione che provo è da una parte quella di tornare indietro di tre anni, quando parlare di telefoni cellulari infetti era molto in voga (neanche io mi sono sottratto, tant'è che questo sito dispone di una sezione apposita). Tre anni che non hanno visto molti sviluppi sotto questo aspetto, se consideriamo che il malware più diffuso sui cellulari è ancora oggi il Commwarrior, un codice del 2005.

D'altro canto però forse oggi, verso la fine della decade, è veramente il momento giusto per iniziare a riflettere sulla questione. Stiamo infatti iniziando ad assistere a una convergenza tecnologica e culturale. Tecnologica, perché i sistemi operativi per smartphone si riducono praticamente a quattro (Windows Mobile, iPhone OS, Symbian e il nuovo Android), e convergenza e interoperabilità sono i due presupposti base necessari per vedere una seria diffusione di malware. Culturale, perché la pervasività degli smartphone sta aumentando in maniera sensibile, e non c'è più bisogno di essere dei top manager per possederne uno.

Quindi forse a breve raggiungeremo quella massa critica di terminali con sistemi operativi simili, o perlomeno compatibili, tale da rendere economicamente vantaggiosa la diffusione di codici malevoli per smartphone. Senza dimenticarci ovviamente dell'indubbio vantaggio - agli occhi delle organizzazioni cybercriminali - che hanno gli smartphone confrontati con i normali PC: per via del modello di business "a consumo", infatti, il cellulare è direttamente collegato al nostro portafoglio. Pertanto rubare automaticamente denaro tramite SMS, MMS o telefonate nascoste a numeri ad addebito elevato potrebbe essere enormemente più facile rispetto ai soliti tentativi di indurci, convincerci, intimarci a rivelare la password del nostro conto corrente bancario.

Analysts say there all kinds of ways that mobile malware could make mischief. Hackers have already induced phones to exchange text messages with rogue operators that charge a high per-message fee.

Resto invece un po' più scettico sulla possibilità di vedere un abuso massificato delle funzionalità avanzate degli smartphone, come ad esempio la localizzazione GPS.

Security experts worry hackers could soon use the GPS feature built into many phones to track the location of their owners.

And experts are alarmed that a new generation of spyware dubbed "snoopware" could eventually be used to turn on the microphone or camera on a phone, allowing a hacker to listen in on phone owners' conversations or see their surroundings.

Questi infatti sono attacchi mirati, messi in campo con un notevole dispendio di risorse, che difficilmente interesseranno la gran parte degli utilizzatori.

---

Con Korset il sistema operativo si difende da solo

Questa estate un professore e uno studente della facoltà di ingegneria dell'Università di Tel Aviv hanno presentato Korset, un HIDS (Host-based Intrusion Detection System) per il kernel di Linux. Intervistati da Science Daily, essi affermano che il metodo usato dal loro software è molto più efficiente rispetto agli anti-virus tradizionali: esso analizza il codice di un programma, crea il relativo diagramma di flusso (control flow graph, CFG) e controlla che il programma non esegua chiamate di sistema al di fuori di quelle prestabilite. Se le fa, ciò può essere sintomo di un'intrusione (code injection e simili).

Al di là delle fantasiose ipotesi del giornalista di Science Daily, che mette in competizione un HIDS con un anti-virus, Korset potrebbe rappresentare un utile livello di protezione in più. Ammesso ovviamente che i due studiosi riescano a superare alcune limitazioni che ha attualmente il programma. Ad esempio l'overhead, che - come riferisce la loro presentazione -  se normalmente non supera l'1%, in certi casi particolari può avvicinarsi al 120%.

Inoltre, sempre a detta di chi lo ha realizzato, Korset è ben lontano da essere un prodotto completo:

It does not yet support dynamically linked applications,
multi-threaded applications, signals, setjmp/
longjmp, etc. In addition, there is still a lot of work required
to increase the precision of the automatons, e.g.,
better assembly analysis, better indirect calls analysis,
add additional observable data to the model, improve
the automaton manipulation algorithms, etc.

Sarà interessante vedere quale sarà l'overhead una volta implementati questi ulteriori controlli.

---

Anna Camuzzi e i documenti sospetti

Gira da ieri un messaggio e-mail proveniente da una certa Anna Camuzzi (a volte mi chiedo come scelgano i nomi... vi ricordate Prisco Mazzi?) che recita:

Pergo siete pregati di visionare i documenti allegati comunicandomi eventuali modifiche

Puoi scaricare l'allegato della presente mail direttamente da qui

 

Documenti allegati

Recandosi sul sito www.sicure-mail.com/allegati/documenti.htm si capisce come gli untori cerchino in tutti i modi di rassicurare l'utente: dal nome del dominio (sicure-mail) al titolo della pagina ("Allegati Sicuri"), al messaggio web che recita "Allegato sicuro controllato da SicureMail Antivirus".

Certo, risalendo un attimo l'albero della directory troviamo che sulla pagina principale di www.sicure-mail.com compare un messaggio scritto con ideogrammi presumibilmente cinesi, e se quelli di prima potevano essere campanellini d'allarme questo dovrebbe far rintoccare un paio di campanacci.

Inoltre da un semplice WhoIs si riesce a vedere che il dominio è stato registrato in Cina presso la Xin Net Technology Corporation.

Infine, scaricando questi fantomatici "documenti" arriva, scontata, la risposta del mio antivirus:

 

Falso messaggio dalla polizia

Prima provano a metterci paura con l'avvocato, quindi con il recupero crediti, poi cercano di indurci in tentazione con una pratica di rimborso, e ora i cyber-criminali mettono in mezzo addirittura la polizia - con tanto di nome e cognome del fantomatico poliziotto - che ci intima a collaborare per una presunta infrazione al diritto d'autore scaturita dal nostro PC.

Il messaggio arriva corredato da un file .zip protetto con password (per evitare i controlli degli antivirus a livello server), che al suo interno contiene un file .exe con il Trojan Win32/TrojanDownloader.Nurech.NAT

Diffidate.

Ecco il testo completo del messaggio, che arriva con l'oggetto Avviso 00098361420 - Polizia o Polizia - Avviso 98361420 (e possibilmente altri):

Avviso
Sono capitano della polizia Prisco Mazzi. I rusultati dell'ultima verifica hanno rivelato che dal Suo computer sono stati visitati i siti che trasgrediscono i diritti d'autore e sono stati scaricati i file pirati nel formato mp3. Quindi Lei e un complice del reato e puo avere la responsabilita amministrativa.

Il suo numero nel nostro registro e 00098361420.

Non si puo essere errore, abbiamo confrontato l'ora dell'entrata al sito nel registro del server e l'ora del Suo collegamento al Suo provider. Come e l'unico fatto, puo sottrarsi alla punizione se si impegna a non visitare piu i siti illegali e non trasgredire i diritti d'autore.

Per questo per favore conservate l'archivio (avviso_98361420.zip parola d'accesso: 1605) allegato alla lettera al Suo computer, desarchiviatelo in una cartella e leggete l'accordo che si trova dentro.

La vostra parola d'accesso personale per l'archivio: 1605

E obbligatorio.

Grazie per la collaborazione.

Il primo bootkit

A fare compagnia ai rootkit ora arrivano i bootkit.

SecurityFocus ha pubblicato un'intervista ai due autori indiani di Vbootkit, il primo rootkit che prende il controllo del sistema direttamente nella fase di boot:

A bootkit is a rootkit that is able to load from a boot-sectors (master boot record, CD , PXE , floppies etc) and persist in memory all the way through the transition to protected mode and the startup of the OS. It's a very interesting type of rootkit. All rootkits install when the OS is running because they use the OS' features to load (and also they use the Administrator privileges to install), but bootkits are different, they use the boot media to attack the OS , and thus survive. Vbootkit is a bootkit specific for Windows Vista.

Per inserire questo proof-of-concept nel sistema vi è bisogno dell'accesso fisico alla macchina, il che rappresenta ovviamente una importante limitazione. Ma una volta colpita una delle macchine in rete, in teoria il bootkit dovrebbe poter essere in grado di "infettare" anche le altre:

Now, just take another interesting scenario. vbootkit is running on a system in a company, it captures all MAC address, and at 00:00, in the silence of the midnight, the vbootkit system starts remote booting, and delivers the vbootkit code as boot code though PXE, so slowly and steadily, the whole organization gets going on vbootkit...

Una "feature" interessante dei bootkit è quella di consentire l'uso del sistema anche senza la famosa attivazione richiesta da Microsoft, cosa che mi fa pensare che potremmo iniziare presto a vederli nel mercato delle copie illegali del sistema operativo.

I due autori per ora non hanno rilasciato il codice sorgente al pubblico, fornendo tuttavia ai produttori di antivirus una stringa per il riconoscimento del programma.

VoIP malware

Fino ad oggi gli attacchi ai sistemi VoIP si sono limitati sostanzialmente all'exploit di vulnerabilità di device e software specifici, come quelle di Asterisk (CVE-2006-2898, CVE-2006-4345, CVE-2006-4346, CVE-2006-5444) o di Cisco Unified Call Manager (CVE-2006-0368, CVE-2006-3594).

Alcuni trojan inoltre cercano di sfruttare Skype per propagarsi, ma al momento ci riescono solo mediante l'invio di messaggi di testo e link - una minaccia equiparabile quindi al malware già noto per i sistemi di messaggistica istantanea.

In questo articolo di IT-Observer si teorizza invece sulla possibilità di nuovi malware che sfruttino proprio l'architettura del servizio VoIP, come ad esempio un worm che si auto-trasmette durante una telefonata da un sistema VoIP all'altro:

Imagine a dataflow across an audio channel (perhaps at a frequency that is not audible to humans) that could crash the voice system, causing a denial of service. Or that this dataflow could be used to create a system status that would allow execution of malicious code.

O un malware che non interferisce direttamente con il flusso VoIP, ma che modifica la rubrica in modo tale da favorire un attacco di social engineering:

A user has an IP telephony system on his computer (both at home and at work). In his address book on the computer there is an entry, under the name “Bank”, with the number 123-45-67. Now, a hacker launches a mass-mailing attack on thousands or millions of email addresses using code that simply enters users’ address books and modifies any entry under the name “Bank” to 987-65-43. The problem has now been created.

If any of these users receives a message saying that there is a problem in their account, and asking them to call their bank (a typical phishing strategy), they may not be suspicious, as they are not clicking on a link in an email (as they have been advised not to do to avoid this type of fraud) nor calling a number in the email (another typical ploy). If they use their VoIP system to call the ‘bank’, they will be calling the modified number, where a friendly automated system will record all their details.

Usando sistemi nuovi siamo tutti più vulnerabili. Oggi una buona parte dell'utenza sa cosa fare e cosa non fare riguardo all'uso dell'e-mail o sull'apertura di allegati eseguibili, ma sei o sette anni fa la situazione era ben diversa: la posta elettronica era una novità ancora per molti, e quasi nessuno conosceva o rispettava anche le più elementari regole di sicurezza.

Quando - nel giro di 2 o 3 anni - i sistemi VoIP avranno raggiunto una buona penetrazione nella società, aspettiamoci attacchi di massa anche su queste piattaforme.

A riguardo già nel 2005 l'agenzia tedesca per la sicurezza informatica ha rilasciato un documento (in tedesco) che illustra i potenziali attacchi al VoIP.