I criminali informatici ne inventano una nuova ogni giorno: c’è quasi da ammirarli per la loro abilità. Avete presente MacKeeper, la controversa app di sicurezza e pulizia per Mac che spande pubblicità un po’ dappertutto in Rete? Quest’app di sicurezza è stata sfruttata, ad insaputa dei suoi creatori, per infettare gli utenti.
È stato infatti segnalato un attacco che sfrutta un difetto di una versione non aggiornata di MacKeeper. La trappola funziona così: la vittima riceve una normale mail che contiene un link sul quale è invitata a cliccare con vari pretesti.
Se l’utente usa MacKeeper, il link sfrutta il suo difetto per far comparire sullo schermo un avviso falso, secondo il quale c’è un’infezione (che in realtà non esiste). L’avviso chiede la password di amministratore con la scusa di averne bisogno per poter rimuovere quest’infezione.
Se l’utente preso di mira digita la password, sul suo computer viene scaricato del software ostile creato dai criminali: a quel punto il Mac è davvero infettato e sotto il pieno controllo degli aggressori.
La casa produttrice di MacKeeper ha prontamente corretto il difetto che apriva le porte ai criminali, per cui se usate questo software assicuratevi di averne la versione più recente. Più in generale, anche se non usate MacKeeper, il Mac comunque non è invulnerabile, per cui è buona cosa installarvi un buon antivirus.
Questo articolo vi arriva gratuitamente e senza pubblicità grazie alla gentile donazione di “ste.simon*”, “davidedani*” e “matteo.cam*” ed è stato aggiornato estesamente dopo la pubblicazione iniziale. Se vi piace, potete incoraggiarmi a scrivere ancora. Ultimo aggiornamento: 2015/07/11 18:45.
Stanotte HackingTeam, la controversa società italiana che vende software di sorveglianza a governi d’ogni sorta e per questo è etichettata come “nemica di Internet” da Reporter Senza Frontiere, è stata violata massicciamente: questo è, perlomeno, quanto risulta a giudicare dai 400 gigabyte di suoi dati riservati che sono ora a spasso su Bittorrent, a disposizione di chiunque abbia banda sufficiente a scaricarli e tempo e competenza per analizzarli.
Anche l’account Twitter di HackingTeam (@HackingTeam) è stato violato ed è stato usato per pubblicare schermate del materiale pubblicato e tweet di sfottimento come quello mostrato qui sopra.
Dentro la collezione di dati trafugata, stando ai primi esami, c’è di tutto: registrazioni audio, mail, codice sorgente, credenziali di login per i siti di supporto di Hacking Team in Egitto, Messico e Turchia. Secondo l’analisi dell’elenco di file del pacchetto Bittorrent, i clienti di HackingTeam includono la Corea del Sud, il Kazakistan, l’Arabia Saudita, l’Oman, il Libano e la Mongolia; c’è una fattura da 480.000 euro al NISS (National Intelligence and Security Services) del Sudan, che secondo Human Rights Watch ha soffocato le proteste contro il governo facendo 170 morti nel 2013, e c’è una fattura da un milione di euro tondi alla Information Network Security Agency dell’Etiopia, eppure HackingTeam ha dichiarato di non fare affari con governi oppressivi.
Stando ai dati pubblicati a seguito dell’intrusione, ci sono clienti di HackingTeam nei seguenti paesi: Arabia Saudita, Australia, Azerbaigian, Bahrein, Cile, Cipro, Colombia, Corea del Sud, Ecuador, Egitto, Emirati Arabi, Etiopia, Germania, Honduras, Italia, Kazakistan, Lussemburgo, Malesia, Marocco, Messico, Mongolia, Nigeria, Oman, Panama, Polonia, Repubblica Ceca, Russia, Singapore, Spagna, Stati Uniti, Sudan, Svizzera, Tailandia, Ungheria, Uzbekistan, Vietnam.
Fra questi paesi quello più scottante è il Sudan, perché c’è un embargo ONU contro questo paese e un’eventuale violazione di quest’embargo da parte di HT sarebbe decisamente imbarazzante, viste anche le dichiarazioni passate di HackingTeam, secondo le quali ci sarebbe un “comitato legale” che “tiene conto delle risoluzioni ONU, dei trattati internazionali e delle raccomandazioni di Human Rights Watch e di Amnesty International”. Attenzione: “tenere conto” non è sinonimo di “rispettare”. E in un’intervista a Wireddi febbraio 2014 HT dichiarava che “Siccome il nostro software è potente, lavoriamo per evitare che finisca in mano di chi potrebbe abusarne.” I risultati di questo lavoro si sono visti stamattina.
C’è anche, secondo Christopher Soghoian, un file Excel con tutti i clienti governativi, le date di primo acquisto da HackingTeam e i ricavi accumulati (maggiori dettagli negli aggiornamenti qui sotto).
Non è finita: alcuni screenshot rivelano pratiche di sicurezza davvero imbarazzanti per una società che si occupa di sicurezza informatica a livelli governativi. Ci sono le password di una persona dotata di account di posta su Hackingteam.com, conservate in chiaro in un file (forse custodito dentro un volume cifrato Truecrypt, comunque scavalcato) e costituite principalmente dalla parola Passw0rd usata ripetutamente per più siti.
E la stessa persona conserva sul computer di lavoro dei link a Youporn (aggiornamento 2015/07/11: potrebbe esserci una ragione di lavoro):
Ho contattato il CEO di HackingTeam per avere una dichiarazione sulla vicenda e sono in attesa di risposta.
Se i dati vengono confermati come autentici, è una carneficina digitale e la reputazione di HackingTeam ne esce a pezzi. Alcuni governi si cominceranno a chiedere in che mani hanno messo i loro affari più sensibili.
13:30. La vicenda sta scivolando rapidamente nel surreale. In tarda mattinata Christian Pozzi di HackingTeam si è affacciato su Twitter per dire che l’azienda ha inviato “una mail di massa a tutti i nostri clienti colpiti non appena abbiamo saputo dell’attacco informatico”. Una dichiarazione che suona decisamente come una conferma dell’autenticità dei dati in circolazione.
Non vorrei essere nei panni della persona di HT che deve spiegare ai servizi di sicurezza russi o di altri paesi che i loro dati riservati ora sono a spasso su Internet.
Non è finita: poco dopo che Pozzi ha tweetato la dichiarazione, anche il suo account Twitter è stato violato, probabilmente a causa di una password un tantinello ovvia come quelle mostrate qui sopra. Ora l’account Twitter risulta disattivato, ma non prima che ne siano stati catturati screenshot assolutamente epici.
Questa vicenda sta diventando un perfetto manuale di tutto quello che non va fatto quando c’è una violazione della sicurezza informatica. E anche di quello che non va fatto per evitare che si verifichi. Regola numero uno: quando succede un casino, stai zitto e lascia che parlino gli avvocati.
Intanto emergono dati aggiuntivi: secondo le ricerche degli esperti, nei file trafugati ci sono dati e password dei clienti di HackingTeam, contratti, parametri di configurazione e un file particolarmente compromettente, che elenca lo stato dei vari clienti, con Russia e Sudan etichettati come “non supportati ufficialmente”:
14:10. La vicenda dovrebbe far riflettere, a mio avviso, su tutta la questione dei trojan di stato. Se, come sembra, il codice sorgente del malware creato da HackingTeam è stato pubblicato nel pacchetto di dati trafugati, questo dimostra concretamente quello che gli esperti dicono da anni: non c’è modo per un governo di creare un malware che potrà essere usato soltanto dai “buoni”. Il malware è malware. È tossico per tutti, esattamente come le armi chimiche o batteriologiche. E prima o poi sfugge di mano.
16:30. Un utente, “Phineas Fisher”, si è attribuito con un tweet (parzialmente confermato) il merito di quest’incursione e di quella ai danni di un’altra società dello stesso settore, Gamma, qualche tempo addietro. Intanto dal Torrent sono stati estratti e segnalati online dei file Excel (Client Overview*) nei quali ci sono i clienti e i loro indirizzi di mail e su Github sono stati pubblicati quelli che sembrano essere i codici sorgente trafugati. Ci sono persino degli screenshot dei desktop dei computer del personale della società. La situazione per HackingTeam, insomma, diventa sempre più disastrosa.
17:00. Apple avrebbe dato a HackingTeam un certificato digitale come iOS enterprise developer per firmare le app e quindi farle sembrare sicure e approvate: Subject: UID=DE9J4B8GTF, CN=iPhone Distribution: HT srl, OU=DE9J4B8GTF, O=HT srl, C=IT. Da quel che ho capito (grazie a Manuel W e Maurizio C), questo in teoria avrebbe permesso a HackingTeam di inviare alla vittima via mail o postare su un sito (non nell’App Store) un’app ostile per iPhone/iPad che il dispositivo e la vittima avrebbero ritenuto sicura perché firmata col certificato, bypassando così i controlli che rendono difficile installare malware nei dispositivi iOS. Sarà interessante vedere la reazione di Apple.
18:00.C’è anche la Svizzera, e specificamente la Polizia Cantonale di Zurigo, fra i clienti di HackingTeam. Per la cifra non trascurabile di 486.500 euro la Kantonspolizei ha acquistato a fine 2014 da HT il Remote Control System Galileo (fattura numero 072/2014). Di questo acquisto ho conferma da fonte indipendente. Galileo è uno dei nomi usati da HT per indicare il proprio malware usato per intercettare i contenuti di smartphone (iOS, Android, Windows Phone, BlackBerry, Symbian) e computer (Windows, Linux, OS X) scavalcandone la crittografia. Galileo viene offerto vantandone l’uso per gestire “fino a centinaia di migliaia di bersagli”.
HackingTeam e i suoi clienti difendono spesso l’uso di malware di stato dicendo che è necessario per lottare contro terrorismo, narcotraffico e pedopornografia. Ma quando si parla di “centinaia di migliaia di bersagli” siamo nel campo della sorveglianza di massa della popolazione e quei reati non c’entrano nulla. A meno che qualche governo se la senta di dire che ha in casa centinaia di migliaia di terroristi, spacciatori e pedofili.
21:30. Si stanno accumulando molte domande, anche autorevoli (The Register, Kevin Mitnick), intorno ad alcuni pezzi di codice sorgente (come questo e questo) che a prima vista sembrano istruzioni per piazzare file di contenuto pedopornografico nei dispositivi dei sorvegliati. Prima di fare un’accusa così grave aspetterei un’analisi esperta di quel codice: non vorrei che si trattasse, per esempio, di semplici funzioni usate per creare un file dimostrativo per i test di funzionalità del malware. Quei nomi pippo e pluto, così tipici della programmazione fatta da italofoni, hanno l’aria di utenti demo.
22:45.Motherboard (Vice.com) scrive che HackingTeam “ha detto a tutti i propri clienti di interrompere tutte le attività e di sospendere ogni uso dello spyware dell’azienda”, riferendosi specificamente al software Galileo/RCS. Scrive inoltre che HT non ha più accesso alla propria mail e che probabilmente i 400 GB di dati sono solo una parte del materiale trafugato. L’intrusione sarebbe avvenuta entrando nei computer dei due amministratori di sistema di HT, Christian Pozzi e Mauro Romeo (sì, la persona che usa come password Passw0rd e lo fa ripetutamente è un sysadmin; non ridete). Nessuno dei dati sensibili era cifrato: passaporti dei dipendenti, elenchi di clienti, tutto in chiaro. Il profilo LinkedIn di Pozzi lo descrive come Senior System and Security Engineer, Hacking Team, April 2014 – Present (1 year 4 months).
Correzione: in una versione precedente di questo articolo avevo scritto che il profilo era stato cancellato; invece era online e c’era un errore mio nell’URL che stavo usando.
C’è anche di peggio. Sempre secondo le fonti di Motherboard, il software di HT ha una backdoor (probabilmente questa) che permette a HT di disattivare o sospendere il suo funzionamento, e questo non lo sanno neppure i clienti.
E ancora: ogni copia del software ha un watermark, per cui “HackingTeam, e adesso chiunque abbia accesso a questo dump di dati, può scoprire chi lo usa e chi viene preso di mira. […] è possibile collegare una specifica backdoor a uno specifico cliente. E sembra esserci un una backdoor nel modo in cui i proxy di anonimizzazione vengono gestiti, che consente a HackingTeam di spegnerli indipendentemente dal cliente e di recuperare l’indirizzo IP finale che devono contattare”.
Saranno contentissimi i clienti di HT, che volevano un prodotto che desse loro una backdoor per spiare i loro bersagli e invece si sono trovati con un prodotto che ha anche una backdoor che agisce contro di loro e rivela chi volevano spiare. Sembra un brutto remake di Inception.
Come se non bastasse tutta questa devastazione, su Twitter gira un umiliante abbinamento di carte: da una parte c’è un documento datato 2015 in cui il rappresentante all’ONU dell’Italia, Sebastiano Cardi, dichiara che HackingTeam al momento non opera nel Sudan e chiede che HackingTeam chiarisca se ci sono stati affari precedenti con il Sudan; dall’altra c’è una fattura di HackingTeam al Sudan datata 2012. Sarebbe interessante sapere come si sente ora Sebastiano Cardi.
Correzione: il paragrafo precedente è stato aggiornato per presentare più correttamente il ruolo di Cardi.
23:00. È una disfatta totale: sono finiti online anche gli estratti conto delle carte di credito dei membri di HackingTeam, i file audio, gli screenshot di Pozzi che ha in archivio il file pirata di Cinquanta sfumature di grigio, si collega dal lavoro a un desktop remoto e lo usa per scaricare film pirata su Emule e altre chicche. Vediamo quali altre sorprese ci porterà la notte.
23:55. Vorrei concludere la giornata con un grandissimo grazie pubblico a tutti i lettori che mi hanno aiutato a raccogliere al volo i pezzi di questa vicenda; senza di voi non sarebbe stato possibile, ma siete troppi per potervi ringraziare uno per uno. A domani!
2015/07/07 10:40. Ho sistemato alcune imprecisioni nel testo di questo articolo e ne sto preparando uno supplementare con gli aggiornamenti della notte e del mattino. Eccolo.
Questo articolo vi arriva gratuitamente e senza pubblicità grazie alla gentile donazione di “mauriziosi*”, “mauro.oli*” e “italoiv*” ed è stato aggiornato dopo la pubblicazione iniziale. Se vi piace, potete incoraggiarmi a scrivere ancora. Ultimo aggiornamento: 2015/07/11 18:25.
Continua la saga della colossale fuga di dati (almeno 400 gigabyte) dalla società di sicurezza informatica italiana HackingTeam, iniziata epicamente ieri mattina e descritta in questo mio articolo. Questo articolo verrà aggiornato man mano che arrivano nuovi dati.
Chi è stato?
Il presunto autore dell’incursione si fa chiamare “Phineas Fisher” e ci sono alcune conferme indipendenti della validità della sua rivendicazione. Stanotte ha tweetato (immagine qui accanto) che scriverà come ha fatto a penetrare in HackingTeam “quando avranno avuto tempo di fallire nel capire cosa è successo e avranno cessato gli affari.” Cattivello, ma anche astuto nell’atteggiarsi a novello Robin Hood.
L’ipotesi, avanzata da alcuni, che l’incursione sia stata opera di una società di sicurezza rivale non ha alcuna prova a sostegno; inoltre, a giudicare dall’approccio alla sicurezza comicamente dilettantesco usato da HackingTeam, non sembra affatto necessario invocare il talento di esperti per spiegare l’intrusione, per cui è poco credibile. Motherboard è riuscita a contattare brevemente Phineas Fisher e autenticarne parzialmente il ruolo.
L’altra ipotesi, ossia che i dati messi in circolazione siano in tutto o in parte inventati, non è credibile, non solo per la quantità immensa dei dati stessi, ma anche perché HackingTeam ha ammesso che le sono stati rubati dei dati.
Conseguenze per Hacking Team
Quanto sarebbero gravi, dal punto di vista legale, le azioni compiute da HackingTeam? L’europarlamentare olandese Marietje Schaake ieri ha scritto che la vendita di questo software al Sudan “non solo costituirebbe una violazione del regime di sanzioni delle Nazioni Unite stabilito dalle Risoluzioni del Consiglio di sicurezza 1556, 1591, 1945, 2091 e 2138, ma […] violerebbe anche la Decisione del Consiglio 2014/450/CFSP del 10 luglio 2014 riguardanti le misure restrittive in considerazione della situazione in Sudan”. La Schaake aveva già presentato, un paio di mesi fa, un’interrogazione parlamentare sui possibili abusi del software di HackingTeam contro giornalisti e difensori dei diritti umani in Marocco. Ora chiede alle autorità italiane di indagare su HackingTeam.
HackingTeam dichiara, nella propria Customer Policy, di fornire il proprio software soltanto a governi o agenzie governative, ma dai dati trafugati stanno emergendo rapporti e fatture di vendita a società private. Nella stessa Policy HT dichiara anche di non vendere a governi presenti nelle liste nere USA, UE, ONU, NATO o ASEAN, ma ha venduto per esempio al Sudan (nei dati c’è una fattura al governo di quel paese). E i rapporti con il Sudan sono proseguiti almeno fino a gennaio 2014, nonostante le dichiarazioni del portavoce di HackingTeam che minimizzano dicendo che la fattura risale al 2012 e quindi è pre-embargo ONU. I dettagli sono in questo mio articolo.
Come già detto ieri, inoltre, HackingTeam avrebbe mentito anche ai propri clienti governativi, installando nel proprio software una backdoor (controllo remoto) senza dirlo ai clienti stessi.
La collezione di exploit di HT veniva aggiornata anche attingendo disinvoltamente agli exploit pubblicati in Rete dai ricercatori di sicurezza.
Su un piano individuale, i dati trafugati contengono moltissimi dati di persone che lavorano per HT o di loro familiari: foto, numeri di carte di credito, conti correnti, clienti e fornitori, siti frequentati e relative password, dati anagrafici e altro ancora. Queste persone dovranno cambiare tutti questi dati, ove possibile, per evitarne abusi e saccheggi.
Conseguenze per i governi clienti
Fondamentalmente, tutti i clienti che hanno pagato centinaia di migliaia di euro a HackingTeam si trovano adesso con un prodotto inutilizzabile. Una bella fregatura. Non solo HT ha chiesto di sospenderne l’uso, ma sono stati trafugati gli exploit che lo costituivano e che gli consentivano di attaccare in modo invisibile. Questi exploit erano i gioielli della corona di HT e ora verranno eliminati con gli aggiornamenti degli antivirus e del software commerciale, per cui HT ora probabilmente non ha più un malware da vendere.
Conseguenze per noi utenti: nuove falle rivelate, sfruttate e da turare
Iniziano ad emergere le prime conseguenze tecniche della rivelazione del codice sorgente dei prodotti di HackingTeam: oggi Tor Project dice che HT ha tentato di violare la sicurezza del loro software ma finora non sono emersi exploit di HT contro Tor, ma terranno d’occhio gli sviluppi.
È presumibile che a breve i principali antivirus riconosceranno il malware di HackingTeam, se non lo fanno già, e quindi molti dei soggetti sorvegliati si accorgeranno di essere stati messi sotto sorveglianza. Potrebbero essere ben poco contenti di scoprirlo. MIkko Hypponen di F-Secure mi ha confermato che il loro software già bloccava il malware di HT, come confermato dalla documentazione interna di HT che ora è pubblica. Mi sfugge la logica con la quale forze di polizia di vari paesi spendono centinaia di migliaia di euro per un malware che viene bloccato da un antivirus da qualche decina di euro l’anno.
Ci sono dei benefici per tutti noi: l’esame dei file di HT ha rivelato che l’azienda usava anche falle di Adobe Flash per infettare i propri bersagli. Una di queste falle (CVE-2015-0349) era già nota ed è stata corretta di recente, mentre un’altra sfrutta un exploit che ha effetto anche sulla versione più recente di Flash Player per Windows, Mac e Linux, che è la 18.0.0.194. Questo secondo exploit, finora sconosciuto, è stato subito sfruttato dai criminali informatici non appena è stato reso noto, secondo Trend Micro; ora potrà essere corretto, consentendo di eliminare una vulnerabilità (CVE-2015-5119) alla quale sono stati esposti tutti gli utenti Flash del mondo e di cui HackingTeam era a conoscenza (tenendosela però ben stretta). Adobe ha annunciato per domani (8 luglio) il rilascio di un aggiornamento d’emergenza di Flash che chiude questa seconda falla. Google sta già inviando l’aggiornamento agli utenti di Chrome, secondo quanto riporta Brian Krebs.
L’analisi dei file di HackingTeam ha inoltre permesso di scoprire che l’azienda sfruttava una falla di Windows presente in tutte le versioni, da XP a 8.1, e basata sull’uso di un file di font appositamente confezionato. Non è noto quando Microsoft rilascerà una correzione.
Lexsi.com, uno dei clienti di HT, ha inviato una richiesta di rimozione a Musalbas.com, uno dei siti che ospita una copia d’archivio dei dati trafugati, dicendo che si tratta di materiale sensibile e riservato. Su questo non c’è dubbio, ma è totalmente inutile chiudere un pezzetto del recinto quando i buoi sono scappati da un pezzo e si stanno moltiplicando allegramente ovunque.
Analisi dei file
Premessa importante: il materiale pubblicato in Rete contiene moltissime immagini della sfera privata di persone legate a HackingTeam, di persone esterne a HT e anche di bambini. Nelle foto e nei video non c’è nulla di imbarazzante, provocante o pertinente per eventuali indagini giornalistiche, per cui credo che sia doveroso rispettare la privacy di queste persone estranee ai fatti e di questi minori che non hanno alcuna colpa. Lascio quindi in pace chi non c’entra.
Gli screenshot pubblicati dall’intrusione includono immagini anche recentissime (primi di luglio) dei desktop dei PC Windows dei due amministratori di sistema e contengono di tutto: dati di richiesta del passaporto per un familiare, sessioni di Solitario e altri giochi (Command and Conquer, mi pare), conversazioni WhatsApp e Facebook, sessioni di scaricamento film su eMule, taglie di reggiseno usate come risposte alle domande d’emergenza per recupero password. Al di là del contenuto relativamente frivolo, l’esistenza di questi screenshot dimostra che i due amministratori di sistema (gente che in teoria dovrebbe essere competentissima in sicurezza) non sapevano di avere dentro i propri computer di lavoro del malware capace di vedere e registrare quello che avevano sui loro schermi. Questo indica che la sottrazione dei dati non è stata commessa semplicemente copiando i file dai computer e dai server, ma anche infettando direttamente i computer degli admin. Che figuraccia.
Almeno una delle password elencate nei file trafugati è obsoleta (ne ho avuto conferma dall’azienda interessata); potrebbero anche esserlo le altre e comunque sarebbe saggio, da parte dei membri di HT, cambiare tutte le proprie password su qualunque servizio (e magari attivare l’autenticazione a due fattori, che non sembra ci fosse), oltre che cambiare tutti i dettagli delle proprie carte di credito, i cui numeri e altri dati sono recuperabili dai file in circolazione.
I file audio finora esaminati sono semplici test e non contengono nulla di significativo dal punto di vista tecnico.
Le mail catturate (interi file PST da vari gigabyte ciascuno) appartengono a molte persone legate a HackingTeam e includono, fra le altre cose, un messaggio nel quale si dice che il sistema RCS di HackingTeam in Colombia è dentro l’ambasciata degli Stati Uniti, dove c’è anche “un altro strumento di intercettazione… che riceverà tutto il traffico degli ISP colombiani”, a conferma del fatto che l’intercettazione di massa preventiva è una prassi del governo degli Stati Uniti.
I nomi degli utenti sono stati mascherati da me; la pecetta non è nell’originale.
Non mancano perle come questa: il CEO di HackingTeam, David Vincenzetti, che dice che non serve ricorrere alla crittografia perché tanto non hanno nulla da nascondere.
Al tempo stesso, notate con quanta circospezione HT parla, in una mail interna, del “cliente E.” che è stato mollato (va detto) da HT dopo che Citizen Lab e Human Rights Watch hanno segnalato gli abusi commessi dal cliente. Notare che la cartella di mail è denominata “EH_Etiopia”, per cui non è difficile per chi analizza questi dati capire quale paese sia il “cliente E.” in questione. I “rapporti di CitizenLab” di cui parla sono probabilmente questi, che denunciano l’uso del malware di Hacking Team contro giornalisti etiopi a Washington.
Niente da nascondere. No, assolutamente.
Ma cosa si aspettavano quelli di HackingTeam quando hanno venduto il proprio software di sorveglianza a un governo come quello dell’Etiopia? Che, con tutti i problemi drammatici che ha quel paese, l’avrebbero usato per sorvegliare pedofili e spacciatori? Siamo seri. Vendere malware a governi di questo genere è esattamente come fare i trafficanti d’armi.
Conservare le proprie password in un’unica applicazione che le gestisca e le ricordi per noi sembra una buona idea, ed è sicuramente meno pericoloso che usare la stessa password dappertutto come fanno in tanti, ma ha dei limiti. Lo hanno scoperto gli utenti di LastPass, un servizio di custodia password basato su tecnologia cloud, che è stato violato pochi giorni fa.
LastPass ha annunciato infatti che sono stati trafugati indirizzi di mail, promemoria di password, codici di autenticazione e altri dati degli utenti, ma gli archivi cifrati dei clienti non sembrano essere stati aperti.
Non c’è da farsi prendere dal panico se si usa LastPass, ma c’è un possibile rischio se la propria master password è debole (è costituita da una sola parola o da una sequenza di caratteri usata altrove come password); comunque è opportuno cambiarla e cambiare anche le password presso gli altri siti gestiti tramite LastPass.
Il problema principale, in questo momento, è che il sito di LastPass è sovraccarico di richieste di accesso proprio per aggiornare questi dati. In attesa di riuscirci, vale la pena di porsi una domanda: è davvero una buona idea dipendere dai computer di qualcun altro per la propria sicurezza? Ben vengano le applicazioni di gestione delle password, ma è meglio usarne una che consenta la gestione locale, magari su una penna USB chiusa dentro un cassetto e comunque protetta dalla master password.
L’articolo è stato aggiornato dopo la pubblicazione iniziale.
Un difetto in CoreText di iOS consente a una specifica sequenza di caratteri di mandare in crash un iPhone o un Apple Watch e ovviamente molti ne stanno approfittando per sabotare almeno temporaneamente i dispositivi iOS altrui per burla.
Basta mandare questa sequenza (battezzata “effective power”) via iMessage o come normale SMS a un iPhone o a un Apple Watch e, se la funzione di notifiche per i messaggi è attiva (come lo è di solito), il dispositivo che lo riceve si bloccherà per poi riavviarsi e diventare inutilizzabile, secondo le segnalazioni dei media. Nessun dato viene perso o rubato, ma è pur sempre un fastidio.
Per prevenire il problema bisogna andare nelle Impostazioni, scegliere Notifiche e poi Messaggi e disattivare l’opzione di visualizzazione dei messaggi nella schermata di blocco. I messaggi verranno ricevuti ma non verranno visualizzati automaticamente.
Se il guaio è già successo, ci sono alcuni rimedi possibili. Potete chiedere al burlone di mandarvi un altro messaggio innocuo, per esempio. In alternativa, potete mandare un messaggio al mittente o mandare un messaggio al vostro stesso dispositivo (usandone un altro, ovviamente). Normalmente a questo punto l’app Messaggi è bloccata a causa del difetto, per cui bisogna ricorrere a un altro modo per inviare messaggi: per esempio tramite Siri oppure tramite le opzioni di condivisione presenti in molte altre app.
Paradossalmente, in attesa che Apple risolva il difetto, gli iCosi craccati hanno la possibilità di installare una correzione temporanea.
2015/05/29: Apple ha pubblicato una soluzione temporanea (in inglese); intanto emergono indicazioni secondo le quali la stessa vulnerabilità può essere trasmessa tramite Twitter e Snapchat e colpisce anche iPad e computer Apple.
Questo articolo vi arriva gratuitamente e senza pubblicità grazie alla gentile donazione di “mind-deto*”. Se vi piace, potete incoraggiarmi a scrivere ancora.
Stanotte ignoti hanno preso il controllo degli account Twitter autenticati di Tesla Motors (@teslamotors) e dello stesso Elon Musk (@elonmusk). Gli aggressori hanno pubblicato dei tweet contenenti un numero di telefono di una persona, con l’invito a chiamare il numero per ricevere una Tesla gratis. A giudicare dallo scambio di messaggi e da alcuni commenti, sembra che si tratti di una sorta di ripicca verso l’utente di cui è stato pubblicato il numero, fatta allo scopo di bombardarlo di telefonate di persone che gli chiedono una Tesla in regalo.
Gli account sono tornati alla normalità, ma in questo momento chi visita il sito Teslamotors.com da un browser si trova rediretto su una pagina parodistica piuttosto grossolana.
2015/04/27: Business Insider ha pubblicato un’analisi della tecnica d’attacco usata dagli aggressori: un classico social engineering.
La notizia che un attacco informatico rivendicato dall’ISIS è riuscito addirittura a bloccare le trasmissioni televisive di un’emittente francese, TV5Monde, e prendere il controllo del suo sito Web e dei suoi account Facebook e Twitter, ha suscitato scalpore e preoccupazione, ma molti indizi suggeriscono che il successo dell’incursione potrebbe non essere merito della sofisticazione tecnica degli aggressori.
Breaking3zero.com ha pubblicato una propria ricostruzione sorprendentemente dettagliata degli eventi, ma non è chiaro quali siano le sue fonti e se la ricostruzione abbia riscontri. Si sa di certo, invece, che in più occasioni le interviste in video ai giornalisti di TV5Monde mostrano sullo sfondo, oppure su un Post-it, delle password perfettamente leggibili anche in video, come si vede qui sotto.
Queste password sono ancora in bella vista anche dopo l’attacco. Una di esse è lemotdepassedeyoutube, ossia “la password di Youtube”, a protezione (si fa per dire) di un account Youtube di TV5Monde, come ha notato su Twitter l’utente pent0thal guardando questo video, girato dopo l’attacco, dal quale è tratto il fotogramma mostrato qui sopra. Nella stessa immagine, sempre alle spalle dell’intervistato, si legge anche chiaramente la parola Instagram e un altro dato che ha tutta l’aria di essere una password (TV5131W).
Se questo è il livello di attenzione alla sicurezza adottato dal personale della redazione di TV5Monde, la spiegazione più probabile dell’attacco è che qualcuno della redazione abbia abboccato a una classica mail di phishing oppure che qualcuno abbia notato le password sullo sfondo in qualche diretta televisiva e che non fossero attive le misure di sicurezza basilari, come la verifica in due passaggi (o autenticazione a due fattori).
Nessun “hacker” ultrasofisticato al soldo dell’ISIS, insomma, ma tanta superficialità di cui qualche dilettante esaltato ha approfittato, ottenendo un risultato spettacolare all’apparenza ma in realtà banale nella sostanza. Va notato, fra l’altro, che gli aggressori hanno bloccato le trasmissioni ma non sono riusciti a mandare in onda dei propri video, e questo è un altro indicatore della portata relativamente limitata dell’attacco: non hanno preso il controllo, ma hanno semplicemente spaccato tutto. Siamo ben lontani da prodezze come quelle di Captain Midnight e di altri negli anni Ottanta negli Stati Uniti, che avevano messo in onda delle proprie trasmissioni al posto di quelle normali.
Un’altra dimostrazione della pochezza degli attacchi attribuiti all’ISIS o a suoi simpatizzanti è l’altro bersaglio preso di mira in questi giorni e segnalato con drammaticità per esempio da 20min.ch: i boy scout svizzeri. Non sto scherzando. Seriamente, ISIS, ve la prendete con un sito dei boy scout? Ci fate la figura dei bulletti che rubano le caramelle ai bambini e si sentono eroi.
In realtà basta un giro sui siti che catalogano i defacement (attacchi di puro vandalismo) per scoprire che lo stesso aggressore che ha violato un sito dei boy scout svizzeri se l’è presa con tanti altri siti di vari paesi, tutti accomunati dal fatto di essere siti di piccolo calibro, con difese scarse o inesistenti.
Insomma, non c’è nessun supercriminale in ballo e la Svizzera non è particolarmente presa di mira. In sintesi, incidenti come questi non devono indurre al panico, ma vanno considerati come una buona occasione per mettersi, finalmente, a imparare per bene e mettere in pratica le regole di base della sicurezza informatica invece di appiccicare al monitor password scritte sui Post-it.
L’articolo è stato aggiornato dopo la pubblicazione iniziale.
Incredibile. Lenovo ha distribuito intenzionalmente dei PC Windows sui quali aveva preinstallato un software pubblicitario che iniettava pubblicità nei siti Web visitati dagli utenti e devastava la sicurezza della loro navigazione.
Il software, denominato Superfish, installa infatti falsi certificati digitali di sicurezza che gli permettono di intercettare i dati degli utenti anche quando viaggiano su connessioni protette cifrate, per esempio per effettuare transazioni bancarie o immettere password.
C’è di peggio: la chiave di cifratura di questi falsi certificati è la stessa per tutti gli esemplari di computer della Lenovo ed è nota (è basata sul nome dell’azienda che ha creato il software), per cui grazie a Superfish qualunque criminale informatico può creare falsi siti che si autenticano con HTTPS (il lucchetto chiuso, solitamente considerato garanzia di autenticità di un sito). I computer della Lenovo dotati di Superfish accetteranno questi siti come autentici invece di avvisare gli utenti che si tratta di trappole. Rubare le password di questi utenti diventa una passeggiata.
Non è finita: altre marche di computer potrebbero essere vulnerabili allo stesso modo perché altri software, per esempio alcuni sistemi di controllo parentale, usano lo stesso sistema di falsi certificati digitali.
Questo genere di comportamento si chiama in gergo man in the middle (“uomo in mezzo” o “intromissione”, per usare una traduzione libera) ed è tipico del peggior malware. Il fatto che lo installi un’azienda molto nota come Lenovo non cambia i fatti: se inietta pubblicità come fa il malware, se falsifica certificati digitali come fa il malware, se intercetta i contenuti delle navigazioni personali come fa il malware, se rende vulnerabili gli utenti come fa il malware, allora è malware, tant’è vero che alcuni antivirus lo segnalano, sia pure chiamandolo “adware” per evitare di accusare Lenovo di crimini informatici e quindi esporsi a liti legali.
Lenovo si è scusata, ha dichiarato di aver smesso di preinstallare Superfish a gennaio 2015 e di aver disabilitato Superfish sui suoi computer in vendita; ha inoltre pubblicato l’elenco dei modelli coinvolti (esclusivamente laptop), ribadendo che l’utente può rifiutare Superfish durante l’attivazione iniziale del computer e offrendo istruzioni per rimuovere Superfish e il suo falso certificato di sicurezza. Il problema, ovviamente, è che molti acquirenti di computer di questa marca non verranno a sapere che esiste questa vulnerabilità e comunque non saranno in grado di seguire le complesse istruzioni di rimozione (descritte in dettaglio da Ars Technica) o di reinstallare da capo una copia pulita di Windows.
Alcuni esperti di sicurezza informatica hanno già predisposto siti di test (per esempio https://filippo.io/Badfish o https://canibesuperphished.com) che permettono agli acquirenti di computer Lenovo (e anche di altre marche) di sapere se sono vulnerabili o no a questo problema. Il test vale solo per Internet Explorer o Chrome (non per Firefox) e va effettuato con ciascuno dei browser installati. I primi risultati di questi siti di test indicano che circa il 10% degli utenti che effettuano il test risulta essere affetto da Superfish.
Molti si chiederanno cosa possa spingere una grande marca come Lenovo a installare software che mina alla base la sicurezza dei suoi clienti e rovina la reputazione dell’azienda. La spiegazione più probabile è puramente economica: i margini di profitto su prodotti generici come i personal computer Windows per uso privato sono bassissimi e la concorrenza è spietata, per cui molti produttori (non solo Lenovo) si fanno pagare da società di marketing per preinstallare software pubblicitario. Lenovo ha dichiarato che il suo intento era di “aiutare i clienti a scoprire potenzialmente dei prodotti interessanti durante lo shopping” e che “il rapporto con Superfish non è finanziariamente significativo”, ma i dati tecnici rendono poco credibili queste giustificazioni.
Ci sono nuovi risvolti nell’attacco informatico alla Sony Pictures, già segnalato la settimana scorsa: la Associated Press ha pubblicato un’analisi impietosa, basata sui file della Sony Pictures trafugati e pubblicati in Rete dagli aggressori (che si fanno chiamare Guardians of Peace o GOP), e ha rivelato le pessime condizioni della sicurezza informatica della casa di produzione cinematografica che l’hanno resa un bersaglio facile.
Per esempio, il CEO di Sony Pictures, Michael Lynton, si faceva mandare via mail, senza cifratura, le password delle proprie caselle di mail, quelle per la gestione via Internet dei conti correnti e quelle per viaggi e acquisti. Nelle oltre 32.000 mail copiate e diffuse dagli aggressori c’erano queste password, insieme a immagini di passaporti, patenti di guida ed estratti di conto corrente. I piani strategici dell’azienda e le informazioni mediche di alcuni dipendenti erano archiviate senza cifrarle. Altri dirigenti avevano lamentato guasti ripetuti e significativi dei sistemi informatici a causa della carenza di spazio su disco, di software obsoleto e di scarso monitoraggio da parte di addetti informatici non competenti. In realtà questi erano, almeno in parte, gli effetti dell’intrusione in corso.
Le modalità esatte dell’attacco non sono ancora note, ma l’analisi della AP indica che gli aggressori hanno preso di mira i dirigenti per spingerli con l’inganno a rivelare le proprie password e che molti dipendenti utilizzavano password facili da indovinare. Si stima, inoltre, che l’intrusione abbia portato alla sottrazione di oltre 100 terabyte di dati: una quantità che implica che gli aggressori sono rimasti indisturbati nella rete informatica di Sony Pictures per settimane.
La responsabilità dell’attacco continua ad essere attribuita da varie fonti non ufficiali alla Corea del Nord o a simpatizzanti di questa nazione, ma le prove oggettive restano tenui per non dire inesistenti.
Di certo, però, la catastrofe informatica che ha colpito Sony Pictures è un’occasione per riflettere sull’eccessiva disinvoltura di moltissimi dipendenti e dirigenti in fatto di sicurezza informatica delle aziende. C’è poca consapevolezza della facilità con la quale computer e smartphone possono essere violati e usati come teste di ponte per sferrare attacchi informatici dall’interno delle reti aziendali e c’è una diffusa credenza che una mail aziendale sia un canale di comunicazione sicuro. Quello che è successo a Sony Pictures potrebbe succedere facilmente a tante altre aziende, colpevoli di non investire in sicurezza e di non educare i dipendenti a pensare in termini di rischio informatico. Sarebbe prudente per ogni azienda cogliere l’occasione per un riesame della propria sicurezza informatica.
Sony Pictures ha subito un’aggressione informatica di portata senza precedenti basato in parte, secondo le prime informazioni, su un particolare malware, analizzato qui da Trend Micro e battezzato Wiper (“azzeratore”) per la sua tendenza a cancellare il contenuto dei computer infettati, tanto da rendere impossibile riavviarli senza un ripristino del sistema operativo. Ma ci sono indicazioni che chi ha commesso l’attacco conosceva già dettagli della struttura interna della rete informatica di Sony Pictures.
Molte fonti citano la Corea del Nord come paese istigatore dell’attacco, ma per ora mancano prove concrete (chi ha compilato il malware usava il coreano come lingua di sistema, ma questo non dimostra nulla): quello che si sa è che le rivendicazioni citano un film della Sony Pictures di prossima uscita, The Interview, che mette ampiamente alla berlina il leader nordcoreano.
Quello che colpisce di questo attacco è la sua portata: sono stati trafugati terabyte di dati, compresi cinque film non ancora distribuiti; è stato preso il controllo di vari account Twitter di Sony Pictures; sono stati disseminati dettagli del personale e dei loro stipendi, oltre a comunicazioni interne che rivelano cosa si pensa, fra i dirigenti, delle varie celebrità di Hollywood. Ma tutto questo è stato reso possibile da una disinvoltura impressionante nella gestione della sicurezza da parte della Sony: interi elenchi di password erano custoditi in semplici file di testo o spreadsheet privi di qualunque cifratura. Sembra che dall’attacco devastante di tre anni fa contro il Sony Playstation Network non sia stato imparato davvero nulla.
Quale che sia la sua origine, l’attacco è una buona occasione per ogni responsabile di sistemi informatici per ripassare e riesaminare la sicurezza dei siti aziendali che gestisce e per far capire ai dirigenti che è necessario investire in sicurezza (vera, non di facciata) e in educazione del personale, affinché diventi chiaro che una mail normale non è un messaggio privato e che mettere le password in un documento Excel non cifrato è da incoscienti.
Devi effettuare l'accesso per postare un commento.