aggiornamenti software – Pagina 11

Aggiornamento d’emergenza anche per i computer Apple

2016-09-02
di Paolo Attivissimo
aggiornamenti software (category), Apple (category), ReteTreRSI (category)

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2016/09/02 22:55.

La settimana scorsa Apple ha diffuso un aggiornamento d’emergenza per i dispositivi iOS, che erano risultati gravemente vulnerabili ad attacchi preparati segretamente da un gruppo di mercenari informatici impiegati da vari governi senza scrupoli. Adesso è emerso che gli stessi attacchi sono sfruttabili anche sui computer Apple, per cui è importante aggiornarli appena possibile.

Gli attacchi, infatti, consentono di prendere il controllo di un computer dotato di Mac OS X semplicemente convincendo l’utente a cliccare su un link. Ora che le falle sono state rese note, è prevedibile che anche i criminali informatici inizieranno a sfruttarle. Il problema si previene scaricando l’apposito aggiornamento, che porta Safari alla versione 9.1.3 (info) e aggiorna Mac OS X El Capitan e Yosemite (info).

Quindi niente panico, ma non perdete tempo e aggiornatevi subito, per esempio andando nell’App Store con il vostro Mac e scaricando il Security Update 2016-001 se avete OS X El Capitan oppure il Security Update 2016-005 se avete OS X Yosemite. Non è disponibile un aggiornamento di sicurezza per le versioni precedenti di OS X: chi le usa dovrebbe passare alle versioni recenti supportate.

Preparatevi a un’attesa di qualche minuto per l’installazione dell’aggiornamento di OS X, che richiede un riavvio e include l’aggiornamento di Safari.

Fonti aggiuntive: Motherboard, Engadget.

Aggiornate subito iPhone e iPad: scoperte tre falle gravissime, già sfruttate dai mercenari informatici

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2016/09/02 21:00.

Se avete un iPhone o un iPad, aggiornate subito il suo iOS in modo da portarlo alla versione 9.3.5. Apple ha infatti distribuito ieri un aggiornamento d’emergenza che risolve ben tre falle gravissime, che sono già sfruttate da anni da operatori senza scrupoli.

Le falle, denominate Trident dagli esperti, consentono di prendere il controllo completo di un dispositivo iOS semplicemente mandandogli un SMS che contiene un link. Se la vittima tocca il link per visitarlo, il dispositivo viene silenziosamente infettato, per cui l’aggressore può intercettare tutte le comunicazioni: messaggi WhatsApp, Viber, Gmail, Facebook, Skype, FaceTime, Calendar, WeChat e altro ancora. Anche telecamera e microfono possono essere accesi da remoto. Se un dispositivo è infettato, l’infezione persiste anche se lo si aggiorna.

La scoperta è stata fatta e annunciata da Citizen Lab e Lookout su segnalazione di Ahmed Mansoor, un difensore dei diritti umani riconosciuto a livello internazionale che risiede negli Emirati Arabi Uniti. Il 10 agosto scorso ha ricevuto degli SMS che gli promettevano segreti importanti sulla tortura dei detenuti nelle carceri degli Emirati se cliccava sui link inclusi nei messaggi. Mansoor ha fiutato la trappola e li ha mandati agli esperti di sicurezza, che hanno ricostruito il funzionamento e l’origine dell’attacco.

La fonte indicata dagli esperti non è la solita banda criminale: questo è un attacco di gran lunga troppo sofisticato. Gli indizi tecnici puntano a NSO Group, una società israeliana e statunitense che crea spyware per governi senza farsi alcuno scrupolo etico e si fa pagare anche un milione di dollari per ogni malware (o 650.000 dollari, più 500.000 dollari di attivazione, per dieci telefonini da sorvegliare, secondo il New York Times). Questo è il genere di mercenari con i quali rischia di dover lavorare chi pensa di usare malware di stato, e questo è il genere di cifre che occorre far pagare ai contribuenti. Il mandante dell’attacco contro Mansoor, presumibilmente, è il governo degli Emirati.

Probabilmente non avete governi nemici che vi stanno attaccando, ma ora che le falle negli iPhone e iPad sono state annunciate e documentate pubblicamente per consentire di risolverle, i criminali informatici di piccolo calibro si daranno da fare per creare attacchi basati su queste stesse falle. Di solito riescono a farlo nel giro di 24-48 ore, per cui non è il caso di rinviare l’aggiornamento.

L’aggiornamento si installa in pochi minuti nella maniera solita: Impostazioni – Generali – Aggiornamento software. Sono aggiornabili tutti i dispositivi Apple recenti: dall’iPhone 4S in su, dall’iPad 2 in su, tutti gli iPad Mini e Pro, e gli iPod touch di quinta e sesta generazione. Chi non può aggiornarsi perché ha un iPhone o iPad molto vecchio resta gravemente vulnerabile se usa il dispositivo collegandolo a Internet e/o alla rete cellulare.

Fonti aggiuntive: Ars Technica, Motherboard.

Aggiornamenti di sicurezza Apple e Microsoft per il weekend

Il recente bollettino di sicurezza di Microsoft non lascia molta scelta: ci sono nove falle da turare, cinque delle quali sono classificate al grado più alto di pericolosità, ossia “critico”.

L’aggiornamento che le risolve è già disponibile, per cui è opportuno installarlo appena possibile: le falle, infatti, riguardano i browser Internet Explorer ed Edge, rendendo gli utenti vulnerabili ad attacchi effettuabili semplicemente convincendoli a visitare una pagina Web appositamente confezionata; toccano anche Office, con vulnerabilità sfruttabili se l’utente apre un documento Office contenente istruzioni nascoste, ricevuto per esempio come allegato.

Ci sono anche falle critiche nella gestione dei font da parte di Windows, che potrebbero consentire all’aggressore di prendere il controllo del computer, e nella gestione dei documenti PDF pubblicati sui siti Web.

La buona notizia è che nessuna di queste falle è al momento sfruttata da attacchi in corso, ma di norma questi attacchi arrivano poco dopo la pubblicazione degli aggiornamenti che le risolvono e le descrivono. La pubblicazione, infatti, consente inevitabilmente ai criminali informatici di sapere dove concentrare i propri sforzi.

Apple, intanto, ha reso disponibile iOS 9.3.4, e anche in questo caso conviene aggiornarsi appena possibile, perché l’aggiornamento risolve una falla scoperta da Team Pangu, un gruppo di informatici noto soprattutto per i suoi strumenti di jailbreak. Apple, come al solito, è reticente nei dettagli e dice solo che la falla consente a un’applicazione di “eseguire codice arbitrario con privilegi di kernel”. Traduzione: è una brutta falla che permetterebbe a un’app ostile di far danni molto gravi. Correggetela installandola nella solita maniera.

Ransomware per termostato, nuova tappa dell’Internet delle Cose

2016-08-12
di Paolo Attivissimo
aggiornamenti software (category), Internet delle cose (category), ReteTreRSI (category)

Non è la prima volta che metto in guardia contro la superficialità con la quale troppi produttori di elettrodomestici e altri apparati collegano a Internet qualunque cosa senza pensare alle implicazioni di sicurezza informatica: stavolta è il turno degli impianti di riscaldamento.

Dalla DEF CON di Las Vegas arriva infatti una dimostrazione dei ricercatori di sicurezza Andrew Tierney e Ken Munro, che hanno spiegato non solo come prendere il controllo di un termostato connesso a Internet ma anche come usarlo per chiedere un riscatto con la minaccia di far salire o scendere la temperatura di casa a livelli insopportabili: una forma di attacco molto simile a quella mostrata, guarda caso, poche settimane fa in una puntata di Mr. Robot.

I due ricercatori non hanno reso pubblico il nome del produttore del termostato vulnerabile, che hanno contattato privatamente in modo da consentirgli di preparare un aggiornamento correttivo, ma hanno spiegato la tecnica usata: il termostato, che usa Linux, non effettua alcun controllo sui file che gli vengono forniti tramite una scheda SD per consentire agli utenti di caricare impostazioni e sfondi. Non è difficile, quindi, convincere una vittima a caricare un file ostile, camuffandolo come un’immagine o un aggiornamento di sicurezza, prendendo così il controllo del dispositivo.

Il produttore del dispositivo preparerà l’aggiornamento, ma il vero problema sarà farlo arrivare a tutti gli utenti, che non sempre registrano il proprio dispositivo negli archivi del fabbricante e se lo fanno sono molto pigri nell’effettuare aggiornamenti, anche perché l’idea di dover aggiornare il software di un frigorifero, di un televisore o di un termostato non è ancora entrata nel sentire comune.

Ultimo giorno per aggiornarsi a Windows 10 gratis: che fare?

2016-08-01
di Paolo Attivissimo
aggiornamenti software (category), Linux (category), ReteTreRSI (category), Windows 10 (category)

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2016/08/01 21:30.

Oggi, 29 luglio, è ufficialmente l’ultimo giorno disponibile per passare gratuitamente a Windows 10 per chi ha un computer dotato di una versione di Windows precedente. Da domani, salvo novità dell’ultim’ora o acrobazie discutibili, aggiornarsi a Windows 10 costerà circa 100 euro (o franchi svizzeri) per la versione Home e qualcosa in più per la versione Pro. La versione Enterprise, quella che le aziende dovrebbero in teoria usare, non ha nessun aggiornamento gratuito temporaneo, ma i contratti Microsoft aziendali di norma includono sempre il passaggio alla versione successiva dei prodotti Microsoft.

Conviene passare a Windows 10? Di solito sì: chi lo fa beneficia degli aggiornamenti di sicurezza, che le versioni precedenti non hanno più o non avranno per molto tempo ancora, e ci sono molte funzioni nuove e pratiche (per esempio i desktop multipli, la riga di comando e migliori prestazioni nei giochi; per non parlare dell’imminente arrivo di bash).

Aggiornarsi in teoria è semplice: si fa un backup dei propri dati, si accetta l’insistentissimo invito a passare a Windows 10 che compare periodicamente sullo schermo, e poi si lascia che il computer lavori per un po’. Il programma d’installazione verifica la compatibilità del computer prima di procedere, per cui in teoria non c’è da temere che l’aggiornamento vada storto.

In effetti moltissimi utenti mi hanno segnalato installazioni effettuate senza alcun problema, per cui ho provato anch’io ad aggiornare un laptop (Acer Aspire E1-510) sul quale avevo Windows 7 per fare informatica forense. Ho accettato l’invito e Windows mi ha detto “Sfortunatamente questo PC non consente l’esecuzione di Windows 10”, nonostante Acer lo dichiari compatibile.

Ho provato a cliccare su “Visualizza report” per avere informazioni sul motivo del rifiuto a installarsi, e ho ottenuto questa risposta classicamente contraddittoria: “Sei pronto! Il tuo PC potrà eseguire Windows 10”.

Gli anni passano, ma certe cose in informatica non cambiano mai.

Vista la schizofrenia di Windows, ho deciso di risolvere a modo mio: ho scaricato Linux (Ubuntu) e l’ho installato su una chiavetta USB, dalla quale ho avviato il laptop. Linux è partito al primo colpo, senza alterare il Windows preesistente, e ha riconosciuto tutti i componenti, mettendomi subito a disposizione mail (Thunderbird), browser (Firefox) e LibreOffice. Così ho accettato il suo invito a installarsi sul disco rigido in dual-boot. Problema risolto.

Fonte aggiuntiva: The Register.

Ma è davvero possibile infettare un computer o un telefonino con un’immagine? Sì

Ultimo aggiornamento: 2016/07/22 15:10.

Una delle raccomandazioni classiche della sicurezza informatica è che qualunque dato ricevuto può trasportare un attacco e quindi non ci si può fidare di nessun tipo di file: la cosa è abbastanza intuitiva per i programmi o le app, che eseguono delle istruzioni e quindi prendono il controllo del dispositivo sul quale sono installati, ma è molto meno ovvia per altri tipi di file.

Per esempio, molti utenti sono increduli quando sentono dire che si può infettare un computer, un tablet o uno smartphone usando semplicemente un’immagine. Come è possibile? Un’immagine, viene da pensare, è una cosa che viene soltanto visualizzata: non viene eseguita. L’idea che un’immagine possa infettare un dispositivo digitale sembra assurda quanto l’idea che guardare un certo telefilm possa guastare il televisore.

Eppure è così: era successo l’anno scorso con Stagefright, un difetto dei dispositivi Android che consentiva di attaccarli semplicemente visualizzando o ricevendo via MMS un’immagine appositamente confezionata, ed è successo ancora.

La dimostrazione più recente di questo fatto apparentemente assurdo tocca stavolta gli iPhone, gli iPad e i computer della Apple, che hanno una serie di difetti nel modo in cui creano le anteprime (thumbnail) delle immagini. Se l’immagine ha le caratteristiche giuste, non viene elaborata correttamente e una sua parte viene erroneamente interpretata come se fosse una serie di comandi da eseguire. Questo consente di attaccare un dispositivo di una vittima inviandole un’immagine, per esempio via MMS o via mail, oppure convincendola a visitare una pagina Web contenente l’immagine ostile.

Niente panico: il difetto è già stato corretto con gli aggiornamenti usciti di recente, che portano iOS alla versione 9.3.3 e Mac OS X alla versione 10.11.6. Se non li avete ancora scaricati e installati, fatelo appena possibile.

Fonti: Talos Intel, Welivesecurity. Correzione: nella stesura iniziale avevo scritto che la versione di OS X era la 10.11.16; è invece la 10.11.6. Grazie a @lordgordon per la segnalazione.

Usate prodotti di sicurezza Symantec? Aggiornateli: sono attaccabilissimi

Grosso imbarazzo in casa Symantec. Venticinque suoi prodotti, venduti per fornire sicurezza agli utenti privati e aziendali, hanno in realtà delle vulnerabilità che espongono i clienti ad attacchi automatici potenzialmente devastanti. L’avviso arriva dal ricercatore di sicurezza informatica Tavis Ormandy: queste falle possono essere sfruttate senza richiedere l’intervento dell’utente e hanno accesso al cuore del sistema informatico proprio perché passano dai suoi sistemi di sicurezza. Per attaccare un utente è sufficiente mandargli un file o un link via mail: la vittima non ha bisogno di aprire il file, e l’attacco è wormable: può diffondersi automaticamente da un computer a un altro.

Ormandy ha dimostrato la vulnerabilità nella maniera più diretta ed eloquente possibile: secondo quanto spiegato in questo tweet, ha inviato a Symantec un attacco (exploit) isolandolo all’interno di un file ZIP protetto da password. Ha incluso la password nella mail. Il server di mail Symantec, sul quale giravano i prodotti Symantec vulnerabili, ha estratto la password dalla mail, ha decifrato il file ZIP, ha letto il codice dell’attacco ed è andato in crash.

Symantec ha pubblicato un avviso di vulnerabilità che elenca 17 suoi prodotti aziendali e otto per uso privato, come Norton AntiVirus, Norton Security, Norton Internet Security, Norton 360, Norton Security for Mac.

Lo stesso avviso elenca anche le versioni aggiornate dei vari software che risolvono le vulnerabilità. Per la maggior parte degli utenti l’aggiornamento dovrebbe essere automatico.

Symantec non è l’unica società di sicurezza informatica a trovarsi nella situazione paradossale di indebolire le difese dei propri clienti invece di aumentarle. Negli ultimi cinque anni, nota Ars Technica, ci sono stati problemi di questo genere con il Comodo, Eset, Kaspersky, FireEye, McAfee, Trend Micro e altri.

Aggiornamento rituale di Adobe Flash, Microsoft, Android (per chi può)

È disponibile un nuovo aggiornamento del player di Adobe Flash, che porta Flash alla versione 21.0.0.182 sotto Windows e OS X e alla 11.2.202.577 sotto Linux.

Molti computer sono configurati per aggiornarsi automaticamente, ma se necessario il player aggiornato è scaricabile manualmente qui o qui. Google Chrome e Microsoft Edge aggiornano separatamente e automaticamente il proprio player Flash.

Questo aggiornamento risolve ben 23 falle di sicurezza, indicate nel bollettino 16-08 di Adobe. Molte di queste falle sono etichettate come “critiche” (permettono di prendere il controllo del computer della vittima).

Come consueto, potete verificare quale versione di Flash avete visitando questa pagina di Adobe con ciascuno dei browser che avete installato. Potete anche impostare Flash in modo che vi chieda il consenso per attivarsi sito per sito. Se invece preferite rimuovere Flash del tutto, le istruzioni in italiano sono qui per Windows e qui per Mac.

Microsoft, invece, ha rilasciato tredici aggiornamenti che coprono falle di sicurezza in Internet Explorer, Edge, Office e varie versioni di Windows. Sono particolarmente interessanti le correzioni che risolvono difetti che consentono di prendere il controllo del computer semplicemente convincendo la vittima a visitare una pagina contenente un video oppure inserendo una chiavetta USB appositamente alterata.

Anche Android ha degli aggiornamenti: diciannove in tutto, di cui sette a coprire falle critiche che consentono di prendere il controllo del dispositivo via mail, via Web o via MMS. Nessuna delle falle è sfruttata da criminali, al momento, ma probabilmente è solo questione di tempo.

Aggiornarsi prontamente è infatti importante, come sempre, perché dopo l’uscita di un aggiornamento i criminali informatici creano e rilasciano rapidamente nuove versioni dei propri malware che sfruttano le vulnerabilità descritte dai bollettini di aggiornamento e hanno effetto su chi non si è aggiornato. Purtroppo nel caso di Android molti produttori di telefonini non rilasceranno mai l’aggiornamento, specialmente per i modelli non recenti, per cui gli utenti resteranno vulnerabili salvo acrobazie al di fuori della portata del consumatore medio. Se potete, insomma, aggiornatevi. Buon lavoro.

Fonti aggiuntive: The Register.

Aiuto, Windows 10 si installa a forza sul computer!

2016-06-03
di Paolo Attivissimo
aggiornamenti software (category), Microsoft (category), ReteTreRSI (category), Windows 10 (category)

Vedo molte segnalazioni di utenti Windows 7 e 8.1 che dicono di essersi trovati obbligati da Microsoft a installare Windows 10: in sostanza, segnalano che cliccare sulla X nella finestra di invito ad aggiornarsi (per ora, e fino a luglio, gratuitamente) a Windows 10 non rifiuta l’aggiornamento, come sarebbe normale, ma lo consente. Altri utenti segnalano che la X che consente di chiudere la finestra stessa è scomparsa e ora hanno soltanto la possibilità di scegliere quando installare Windows 10, ma non di rifiutarsi di farlo.

Ci sono ottime ragioni per non volere Windows 10: applicazioni o componenti incompatibili, per esempio (addirittura Samsung lo ha sconsigliato, ma poi ha cambiato idea). Anche chi vuole migrare a Windows 10 magari vuole avere la libertà di scegliere quando farlo e non trovarsi con il computer bloccato da un aggiornamento nel momento meno opportuno. Che fare?

Alcuni esperti consigliano di installare Never 10 di Steve Gibson, che disabilita reversibilmente l’aggiornamento automatico a Windows 10. Un’altra soluzione è non accettare la licenza (EULA) di Windows 10. In alternativa si può fare entro 31 giorni un rollback andando nelle impostazioni, scegliendo la sezione degli aggiornamenti e chiedendo di ripristinare e di disinstallare Windows 10.

Esistono anche altri metodi, ma richiedono interventi piuttosto delicati che non sono alla portata di tutti gli utenti. Una cosa da non fare, invece, è disabilitare gli aggiornamenti di Windows 7 e 8.1: è vero che questo blocca l’aggiornamento a Windows 10, ma blocca anche gli aggiornamenti di sicurezza e lascia il computer vulnerabile agli attacchi.

Apple, aggiornamenti per iOS, OS X, watchOS e tvOS

2016-05-16
di Paolo Attivissimo
aggiornamenti software (category), Apple (category)

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete incoraggiarmi a scrivere ancora (anche con un microabbonamento).

Apple ha rilasciato un aggiornamento per iOS, che porta il sistema operativo alla versione 9.3.2 risolvendo qualche problema minore e chiudendo alcune falle di sicurezza; ci sono aggiornamenti anche per OS X (versione 10.11.5, circa 1 GB, che risolve vari problemi di sicurezza), per watchOS (che arriva alla versione 2.2.1) e per tvOS (che raggiunge la 9.2.1).

Come consueto, è opportuno fare un buon backup dei propri dati e poi installare il più presto possibile questi aggiornamenti.

Fonti aggiuntive: Ars Technica.