SicurezzaInformatica

Prove pratiche di Tabnabbing (il nuovo phishing)

State navigando su una pagina apprentemente innocua. Quindi aprite un nuovo tab nel vostro browser e proseguite la navigazione senza chiudere la pagina precedente.

Quante volte vi sarà capitato? Io personalmente ho sempre da un minimo di tre a un massimo di N tab aperti.

Un attacco relativamente nuovo chiamato "tabnabbing", rivelato da Aza Raskin di Mozilla, fa sì che, mentre vi trovate su un altro tab, la pagina di prima cambi senza che ve ne accorgiate. Tornandoci sopra potreste trovare una schermata di login ad esempio di Gmail, Facebook o altri servizi di uso comune.

Ovviamente la schermata altro non è che un tentativo di phishing, e la pagina deve essere stata prima equipaggiata con un apposito codice javascript.

Provatelo visitando questa pagina. Dopo averci passato qualche secondo aprite un altro tab (uno qualsiasi, anche vuoto) e spostatevi lì. Noterete come - passati alcuni attimi - il tab precedente cambierà titolo, favicon e contenuti (alla data odierna tutti i maggiori browser sono vulnerabili).

L'Italia vuole intercettare le telefonate via Skype

È notizia di oggi che il Ministero dell'Interno ha organizzato un gruppo di lavoro per studiare la possibilità di intercettare le comunicazioni via Skype:

Roma, 18 feb. - (Adnkronos) - Il ministro dell'Interno, Roberto Maroni, ha costituito un apposito Gruppo di lavoro formato da rappresentanti del Dipartimento della Pubblica Sicurezza, dalla Polizia di Stato, Carabinieri, Guardia di Finanza e dal Consiglio Nazionale delle Ricerche, che ha l'obiettivo di ricercare soluzioni tecnologiche e normative per rendere fruibili ai fini investigativi e giudiziari le intercettazioni telematiche effettuate sulle conversazioni Voip che utilizzano il software prodotto da Skype.

La parte che mi preoccupa maggiormente è il riferimento a soluzioni "normative". Finiremo come in Cina, dove Skype viene distribuito in versione "intercettabile" dalle autorità?

Prove di anti-cyber-terrorismo in India

Mentre la Cina attacca (?) gli USA, l'India prova a difendersi dal terrorismo. Lo riferisce Bruce Schneier sul suo blog, che a sua volta riporta una notizia pubblicata dal sito indiano MiDDay:

Mumbai police will have access to new software connected to 500 cyber cafes in the city that will send them logs

In sostanza la polizia di Mumbai (ex Bombay) installerà un software in 500 Internet cafè che le permetterà di monitorare le attività terroristiche.

The police needs to install programs that will capture every key stroke at regular interval screen shots, which will be sent back to a server that will log all the data.

La logica è che se i terroristi temono di essere rintracciati usando la connessione Internet di casa o da amici/conoscenti, in un Internet cafè sarebbero protetti dall'anonimato.

Vijay Mukhi, President of the Foundation for Information Security and Technology says, “The terrorists know that if they use machines at home, they can be caught. Cybercafes therefore give them anonymity.”

E da oggi ovviamente qualsiasi terrorista che dovesse pianificare un attentato ci penserà due volte prima di usare un Internet cafè di Mumbai. Di conseguenza ecco l'ennesimo esempio di come una misura estrema presentata come mezzo di contrasto al terrorismo finisce per essere usata contro la criminalità comune. Oltre che ovviamente per rendere la vita più difficile al resto della popolazione.

All cyber cafes in the city will now need a police license to keep their business going. All cafes need to register at the police headquarters and provide details on the number of computers installed, type of computers and technical details like the IP address of each machine.

Falso messaggio dalla polizia

Prima provano a metterci paura con l'avvocato, quindi con il recupero crediti, poi cercano di indurci in tentazione con una pratica di rimborso, e ora i cyber-criminali mettono in mezzo addirittura la polizia - con tanto di nome e cognome del fantomatico poliziotto - che ci intima a collaborare per una presunta infrazione al diritto d'autore scaturita dal nostro PC.

Il messaggio arriva corredato da un file .zip protetto con password (per evitare i controlli degli antivirus a livello server), che al suo interno contiene un file .exe con il Trojan Win32/TrojanDownloader.Nurech.NAT

Diffidate.

Ecco il testo completo del messaggio, che arriva con l'oggetto Avviso 00098361420 - Polizia o Polizia - Avviso 98361420 (e possibilmente altri):

Avviso
Sono capitano della polizia Prisco Mazzi. I rusultati dell'ultima verifica hanno rivelato che dal Suo computer sono stati visitati i siti che trasgrediscono i diritti d'autore e sono stati scaricati i file pirati nel formato mp3. Quindi Lei e un complice del reato e puo avere la responsabilita amministrativa.

Il suo numero nel nostro registro e 00098361420.

Non si puo essere errore, abbiamo confrontato l'ora dell'entrata al sito nel registro del server e l'ora del Suo collegamento al Suo provider. Come e l'unico fatto, puo sottrarsi alla punizione se si impegna a non visitare piu i siti illegali e non trasgredire i diritti d'autore.

Per questo per favore conservate l'archivio (avviso_98361420.zip parola d'accesso: 1605) allegato alla lettera al Suo computer, desarchiviatelo in una cartella e leggete l'accordo che si trova dentro.

La vostra parola d'accesso personale per l'archivio: 1605

E obbligatorio.

Grazie per la collaborazione.

A caccia di soldi (rubati)

Di Ross Anderson ne ho già parlato diverse volte su questo blog. Recentemente si è occupato di phishing, con un documento commissionatogli dalla Federal Reserve e intitolato: Closing the Phishing Hole – Fraud, Risk and Nonbanks.

Nel documento Anderson analizza i percorsi che fanno i soldi per passare dalle mani dei legittimi proprietari a quelle dei phisher, e suggerisce di andare a colpire proprio tali vie per arginare il fenomeno delle frodi on-line.

Nel presentare il documento Anderson afferma: "It turns out that phishing is made easier by payment systems like eGold and Western Union which make the recovery of stolen funds more difficult."

Il paper è interessante da leggere, anche se il succo sta tutto in queste due frasi:

Fraudulent payments within the banking system can be pursued and recovered with a reasonable probability of success; but once stolen funds are used to buy transferable financial assets such as eGold, recovery becomes much harder. This suggests that much of the benefit that could be obtained from regulating nonbanks more closely can be got by greater transparency about counterparty risks.

Non deve stupire quindi se pochi giorni fa un grand jury statunitense ha accusato fra gli altri e-Gold di essere un mezzo per il riciclaggio di denaro sporco.

Attacco DDoS contro un'azienda anti-spam

Non è un bel momento per chi lotta contro lo spam. Pochi giorni fa un'azienda che forniva soluzioni anti-spam è stata costretta a chiudere il proprio servizio poiché bersagliata da un potente attacco DDoS.

Oggi gli spammer si accaniscono e continuano a bombardare l'azienda che offriva quel servizio, o meglio il suo fornitore DNS, lasciando sul terreno migliaia di altri siti web:

[...] the attack on UltraDNS had knocked about 80 percent of his company's clients offline, or roughly 2,000 or so Web businesses.

Ma non si tratta di un attacco DDoS vecchio stile, questo è un attacco portato direttamente al servizio DNS, come ben spiegato da Brian Krebs:

Known as DNS amplification attacks or "reflected DNS attacks," these kinds of DDoS assaults increase the traffic hurled at a victim by orders of magnitude. In a nutshell, the attackers find a whole bunch of poorly configured DNS servers and use them to create and send spoofed DNS requests from systems they control to the DNS servers they want to cripple. Because the DNS requests appear to be coming from other trusted DNS servers, the target servers have trouble distinguishing regular, legitimate DNS lookups from ones sent by the attackers. Sustained for long enough, the attack eventually overloads the victim's DNS servers with queries and knocks them out of commission.

Assassinato a Mosca uno dei più attivi spammer russi

MosNews riporta una notizia secondo cui il trentacinquenne Vardan Kushnir, da molti considerato il più attivo spammer russo, sarebbe stato brutalmente assassinato nel suo appartamento di Mosca con ripetuti colpi sferrati alla testa.

L'indirizzo e i recapiti di Kushnir sono stati più volte diffusi al pubblico in diverse azioni di "contro-spamming", a cui avrebbero partecipato alcuni utenti stanchi di ricevere spam in cirillico. Tuttavia, da qui a ipotizzare che l'omicidio sia avvenuto per una sorta di vendetta legata allo spam ce ne corre.

Panoramica sul cybercrime

Il Wall Street Journal ha pubblicato ieri un interessante articolo che fa il punto sul cybercrime e sulle varie metodologie utilizzate.

Alcuni passaggi in evidenza:

Security experts are increasingly concerned about break-ins that come via a company's partners and vendors. These smaller companies often have privileged access to their larger partner's computer systems, but may not be as well protected.

...

[sugli attacchi alle infrastrutture critiche] Security experts say such power-control systems are unlikely to be the primary target of terrorists, who arguably are more interested in spectacular physical attacks that generate casualties. But experts are increasingly concerned that attacks on critical systems could be used in conjunction with more-violent tactics to compound the damage -- for instance, by disabling emergency-response systems.

...

In the future, security attacks will come out of thin air. Smartphones and some personal digital assistants boast always-on wireless connections and run more-sophisticated software than standard cellphones, making them susceptible to viruses, worms and data theft just like PCs.

Quasi tutto l'articolo si pone a un livello introduttivo, quindi è facilmente accessibile a tutti.

A noi gli occhi

Approfittando della visita in Europa di Michael Chertoff, capo del DHS, Wired ricorda a tutti come fra non molto entrare negli Stati Uniti significherà essere soggetti a rilevazioni biometriche (impronte digitali, scansione dell'iride, ecc).

L'unico modo per evitare lo screening alla frontiera Usa sarà quello di sottoporvisi in patria, presentando quindi agli agenti dell'immigration una scheda biometrica con la registrazione dei dati. Gli olandesi lo stanno già facendo.

L'articolo di Wired riassume in un passaggio le motivazioni ufficiali del nuovo programma di controllo:

The United States hopes the use of biometric testing will help prevent potential terrorists entering the country and cut down confusion about who is allowed in and who is not.

Tuttavia giova ricordare che una rilevazione biometrica non indica se si è terroristi o meno, bensì semplicemente se i dati riportati sulla card corrispondono alla persona che la detiene.

Un terrorista non conosciuto alle forze dell'ordine (e suppongo che i terroristi non schedati siano molto più numerosi di quelli schedati) passerebbe il controllo biometrico come qualsiasi altro cittadino.

Il vantaggio che questo sistema darà alla lotta al terrorismo pare quindi discutibile, tutt'al più sarà utile per acciuffare ladruncoli e criminali di bassa lega. Si è molto più sicuri, tuttavia, sui potenziali pericoli che uno screening di massa e un database centralizzato di informazioni biometriche potrà apportare alla privacy delle persone (dobbiamo ricordare tutti i furti di dati sensibili che si sono verificati solo negli ultimi due anni?)

Studio dei servizi Usa sull'insider threat

Il servizio segreto degli Stati Uniti (che contrariamente a quanto credono in molti NON è la Cia) ha rilasciato uno studio preparato insieme alla Carnegie Mellon University sul rischio di sabotaggi alle infrastrutture informatiche provenienti dall'interno delle organizzazioni (il cosiddetto insider threat).

Lo studio analizza 49 casi avvenuti fra il 1996 e il 2002, mettendo in luce gli elementi comuni, sia ambientali sia comportamentali.

Il documento contiene anche casi raccontati in forma aneddotica, come questo esempio:

In one case, an insider had become dissatisfied with his job installing software and hardware on the company’s computers and with providing technical support to its employees.
[...]
In spite of his negative communications, the company owner permitted the insider to retain email access as a paying customer following his resignation. Several weeks after he resigned, the insider used bogus accounts he had created to change all of the company’s administrative passwords, alter the computer’s registry, delete the entire billing system, and delete two internal databases.

Il numero di casi studiati è troppo basso per poter veramente dare un peso alle statistiche riportate, ma il documento nel suo complesso è una lettura illuminante per chi ancora crede che i pericoli provengano solo dall'esterno.