Vai al contenuto
Lenovo ha preinstallato malware sui suoi PC: devastata la sicurezza degli utenti

Lenovo ha preinstallato malware sui suoi PC: devastata la sicurezza degli utenti

L’articolo è stato aggiornato dopo la pubblicazione iniziale.

Incredibile. Lenovo ha distribuito intenzionalmente dei PC Windows sui quali aveva preinstallato un software pubblicitario che iniettava pubblicità nei siti Web visitati dagli utenti e devastava la sicurezza della loro navigazione.

Il software, denominato Superfish, installa infatti falsi certificati digitali di sicurezza che gli permettono di intercettare i dati degli utenti anche quando viaggiano su connessioni protette cifrate, per esempio per effettuare transazioni bancarie o immettere password.

C’è di peggio: la chiave di cifratura di questi falsi certificati è la stessa per tutti gli esemplari di computer della Lenovo ed è nota (è basata sul nome dell’azienda che ha creato il software), per cui grazie a Superfish qualunque criminale informatico può creare falsi siti che si autenticano con HTTPS (il lucchetto chiuso, solitamente considerato garanzia di autenticità di un sito). I computer della Lenovo dotati di Superfish accetteranno questi siti come autentici invece di avvisare gli utenti che si tratta di trappole. Rubare le password di questi utenti diventa una passeggiata.

Non è finita: altre marche di computer potrebbero essere vulnerabili allo stesso modo perché altri software, per esempio alcuni sistemi di controllo parentale, usano lo stesso sistema di falsi certificati digitali.

Questo genere di comportamento si chiama in gergo man in the middle (“uomo in mezzo” o “intromissione”, per usare una traduzione libera) ed è tipico del peggior malware. Il fatto che lo installi un’azienda molto nota come Lenovo non cambia i fatti: se inietta pubblicità come fa il malware, se falsifica certificati digitali come fa il malware, se intercetta i contenuti delle navigazioni personali come fa il malware, se rende vulnerabili gli utenti come fa il malware, allora è malware, tant’è vero che alcuni antivirus lo segnalano, sia pure chiamandolo “adware” per evitare di accusare Lenovo di crimini informatici e quindi esporsi a liti legali.

Lenovo si è scusata, ha dichiarato di aver smesso di preinstallare Superfish a gennaio 2015 e di aver disabilitato Superfish sui suoi computer in vendita; ha inoltre pubblicato l’elenco dei modelli coinvolti (esclusivamente laptop), ribadendo che l’utente può rifiutare Superfish durante l’attivazione iniziale del computer e offrendo istruzioni per rimuovere Superfish e il suo falso certificato di sicurezza. Il problema, ovviamente, è che molti acquirenti di computer di questa marca non verranno a sapere che esiste questa vulnerabilità e comunque non saranno in grado di seguire le complesse istruzioni di rimozione (descritte in dettaglio da Ars Technica) o di reinstallare da capo una copia pulita di Windows.

Alcuni esperti di sicurezza informatica hanno già predisposto siti di test (per esempio https://filippo.io/Badfish o https://canibesuperphished.com) che permettono agli acquirenti di computer Lenovo (e anche di altre marche) di sapere se sono vulnerabili o no a questo problema. Il test vale solo per Internet Explorer o Chrome (non per Firefox) e va effettuato con ciascuno dei browser installati. I primi risultati di questi siti di test indicano che circa il 10% degli utenti che effettuano il test risulta essere affetto da Superfish.

Molti si chiederanno cosa possa spingere una grande marca come Lenovo a installare software che mina alla base la sicurezza dei suoi clienti e rovina la reputazione dell’azienda. La spiegazione più probabile è puramente economica: i margini di profitto su prodotti generici come i personal computer Windows per uso privato sono bassissimi e la concorrenza è spietata, per cui molti produttori (non solo Lenovo) si fanno pagare da società di marketing per preinstallare software pubblicitario. Lenovo ha dichiarato che il suo intento era di “aiutare i clienti a scoprire potenzialmente dei prodotti interessanti durante lo shopping” e che “il rapporto con Superfish non è finanziariamente significativo”, ma i dati tecnici rendono poco credibili queste giustificazioni.

Fonti: BBC, Ars Technica, TheNextWeb, Engadget, Lenovo, Punto Informatico.

Sherlock Holmes: smartphone, PIN e pollo fritto

Sherlock Holmes: smartphone, PIN e pollo fritto

Questo articolo vi arriva grazie alla gentile donazione di “lori10” ed è stato aggiornato dopo la pubblicazione iniziale. La situazione descritta è di fantasia, ma è basata su fatti tecnici reali ed un episodio realmente accaduto.

Il taxi attutiva i rumori di Londra addobbata per Natale e metteva in risalto le parole di Sherlock Holmes, scandite seccamente alla consueta velocità frenetica che adottava quando, a malincuore, doveva sprecare il proprio tempo prezioso per spiegare l’ovvio.

“…e in questo modo ho risolto il caso.”

L’ispettore Lestrade lo stava guardando sbigottito, con la biro ferma a mezz’aria, librata in un improbabile volo sopra il taccuino sgualcito, mossa solo dagli scossoni della strada. Non che questa fosse un’espressione rara sul volto di Lestrade in presenza di Holmes, come ben sapeva Watson, che dallo strapuntino del vecchio taxi stava assistendo alla conversazione in silenzio ma con malcelato divertimento.

“Sì, credo di aver capito quasi tutto… Ma Holmes, come ha fatto a scoprire il PIN del cellulare dell’assassino del Circolo Coloniale degli Scacchisti e trovarvi le prove del delitto che hanno incastrato il dottor Chaturanga? Le combinazioni possibili sono tantissime, e dopo pochi tentativi scatta il blocco!” disse Lestrade, cercando di ostentare competenza nelle nuove tecnologie degli smartphone.

“Pollo.” rispose laconicamente Holmes guardandolo dritto negli occhi.

Lestrade, già a disagio per l’evidente condiscendenza esibita come consueto da Holmes nei suoi confronti, non riuscì più a contenersi. “Adesso basta, Holmes! Non sono qui per farmi insultare! Sono qui per avere una spiegazione da mettere nel rapporto ai miei superiori!”.

“Non le sto dando del pollo, Lestrade. Mi guardo bene dall’attribuirle la stessa intelligenza di quell’utilissimo animale” spiegò Holmes. Lestrade fece una smorfia di sollievo e d’apprezzamento, senza rendersi conto del senso effettivo delle parole del suo interlocutore, che proseguì. “Sto dicendo che ho usato del pollo. Per la precisione, pollo fritto e patatine.”

“Ah!” esclamò trionfante Lestrade. “Ha estratto dal pollo e dalle patatine una sostanza chimica che le ha permesso di… uh…”. Si fermò, rendendosi conto troppo tardi che non sapeva come completare la frase che aveva iniziato.

Holmes sospirò. “No, Lestrade. Ho semplicemente invitato il sospettato a pranzare con me specificamente in un locale dove servono un ottimo pollo fritto, vicino al Circolo. Mentre eravamo in fila per prendere le pinte di birra, gli ho sfilato lo smartphone dalla tasca.”

“E ha tentato il PIN che la sua mente logica aveva intuito! Geniale!”

“No, semplicemente l’ho pulito accuratamente e poi l’ho rimesso nella tasca del dottor Chaturanga.”

Watson sapeva benissimo che Holmes stava giocando con Lestrade come il gatto con il topo, e tirare in lungo la cosa gli sembrava un po’ crudele anche per gli standard dell’amico. Ma Sherlock era così: o lo accettavi com’era, o lo odiavi.

“Ma allora…” tentò di nuovo confusamente Lestrade.

Holmes continuò la spiegazione. “Al termine del pranzo il sospettato, che ovviamente aveva mangiato con le mani e quindi aveva evitato di toccare il telefonino con le mani unte, se le è lavate. A quel punto Watson gli ha mandato un SMS del tutto banale – veramente banale – e l’uomo ha quindi dovuto digitare il PIN per sbloccare il cellulare e leggere il messaggio. Ho guardato lo schermo spento del telefonino, angolandolo adeguatamente rispetto alla luce, e ho capito subito il PIN del sospettato.”

Di fronte all’espressione sempre più smarrita di Lestrade, finalmente Watson aprì bocca per porre fine a quella sottile tortura. “Anche se il sospettato si era lavato le mani, sui suoi polpastrelli era rimasta comunque una sottile patina di unto, come avviene sempre in questi casi. Non troppo consistente da essere percepita e quindi indurre la persona a pulirsi le mani su un tovagliolo prima di toccare il telefonino, ma sufficiente a lasciare una traccia chiara, specialmente sugli schermi anti-unto di certe marche famose. Proprio per questo Sherlock ha portato il sospettato in quel locale. Sherlock ha semplicemente guardato le ditate lasciate sullo schermo pulito quando Chaturanga ha digitato il PIN. Poi, toccando il tasto Home del telefonino, ha visto a quali cifre corrispondevano le ditate.”

“Esatto, Watson. Questo espediente ha ridotto drasticamente il numero di possibili PIN da diecimila a ventiquattro. Restava solo il problema – se vogliamo chiamarlo tale – di determinare quale delle ventiquattro possibili sequenze delle quattro cifre era quella giusta.”

“Appunto!” obiettò Lestrade. “Poteva essere 2, 4, 1, 8 oppure 4, 1, 2, 8. Oppure 2, 1, 4, 8, magari perché Chaturanga era, che ne so, nato il 2 gennaio del 1948! Come ha fatto a escludere le altre combinazioni?”

“Banale, Lestrade. Banale” rispose Holmes. “Il delitto è avvenuto in un circolo di scacchi, e c’è una famosissima leggenda secondo la quale l’inventore di questo gioco, convocato dal re che gli chiedeva di scegliere la ricompensa per l’invenzione che aveva così incantato il sovrano, umilmente domandò di essere pagato con un solo chicco di grano per la prima casella della scacchiera, due per la seconda, quattro per la terza, e così via raddoppiando fino alla sessantaquattresima. Il re diede ordine di pagare subito questa ricompensa così modesta, ma i contabili di corte, imbarazzatissimi, dovettero fargli notare che per pagare l’inventore non sarebbero bastati tutti i raccolti del regno.”

“Due alla sessantaquattresima è un numero enorme” interruppe Watson, aspettando che Holmes lo correggesse precisando che in realtà il numero esatto era 264-1. Ma l’investigatore preferì glissare sul dettaglio e concludere il proprio racconto. “Il re, pensando che l’inventore avesse voluto prendersi gioco di lui, lo fece decapitare.”

Lestrade era completamente smarrito.

“I primi numeri citati in quella leggenda, nota a tutti gli scacchisti, sono… 1, 2, 4, 8. E quello era, logicamente, il PIN perfetto per uno scacchista” concluse Holmes. “Conoscere la personalità dei sospettati è fondamentale. Tutti attingono ai propri interessi e alle proprie passioni quando si tratta di creare una cosa personale come una password. Io sfrutto sempre questa debolezza.”

Il taxi arrivò in Baker Street poco dopo, e Holmes e Watson scesero, lasciando Lestrade a proseguire la corsa verso New Scotland Yard. Watson alzò il bavero del cappotto contro il freddo insolitamente secco, imitando inconsciamente il gesto analogo di Holmes. “Devi sempre trattarlo come un imbecille?” gli chiese.

“Ma è un imbecille.”

“E non hai nessuna intenzione di dirgli come sei arrivato a dedurre che era proprio quell’uomo il probabile assassino, vero?”

“Non probabile, Watson, suvvia. Un cognome del genere, in un delitto commesso in un circolo scacchistico, non poteva che essere falso: la firma dell’artista, per così dire. Scelte guidate da interessi e passioni, come dicevo. Birra.” propose Holmes, segnalando che l’argomento lo aveva tediato abbastanza ed era chiuso.

Entrando da Speedy’s, Watson si fece un appunto mentale di non mangiare mai più il pollo con le mani. E di consultare Google alla prima occasione.

La storia reale

Il raccontino che avete letto qui sopra, scritto come divertissement in un momento di insonnia, è nato da un episodio reale. Qualche giorno fa stavo facendo un po’ di test con un iPhone che uso per le mie prove sul campo e al termine dei test ho pulito accuratamente il suo schermo. Poi sono andato a mangiare, specificamente pollo e patatine.

Naturalmente mi sono lavato bene le mani sia prima sia dopo il pasto, ed è quindi stato sorprendente scoprire che quando ho digitato il PIN di sblocco sull’iPhone, convinto di avere le mani pulite, ho invece lasciato delle ditate spettacolari che si stagliavano nette sullo schermo altrimenti pulitissimo, come si vede nella foto che ho postato qui sopra. Così mi è venuto in mente che invitare qualcuno a mangiare pollo e patatine con le mani sarebbe una tecnica perfetta per rivelare le cifre del suo PIN, usando poi un po’ di conoscenza del soggetto per dedurre quale sequenza sarebbe stata la più probabile; e chi meglio di Sherlock Holmes avrebbe saputo sfruttare questa tecnica?

Sospetto che la stessa cosa avvenga per gli schermi degli smartphone Android e Windows, ma non ho verificato. Lo farò in occasione del prossimo pollo.

Cinque milioni di password rubate? Niente panico

Tranquilli. Non c’è stato nessun “attacco a Google” da parte di hacker cattivi. Come già accennato qualche giorno fa, è in circolazione un file contenente nomi di utenti e password riguardanti circa 4,9 milioni di account di Google e numerosi account di Yandex.ru, Yahoo, Hotmail e altri fornitori di caselle di mail e servizi online. Ma si tratta in gran parte di dati vecchi e non aggiornati, che a detta di Google non provengono da una violazione dei suoi server e non permettono di violare gli account: solo il due percento degli account elencati riporta la password corrente e molti di questi sarebbero stati protetti comunque dagli altri sistemi antifrode di Google.

Sono in circolazione anche altre collezioni di account rubati: si parla di 4,7 milioni di nomi utenti e password di Mail.ru e Yandex.ru, ma anche in questo caso i dati sono obsoleti. Probabilmente si tratta di dati raccolti nel corso di mesi o anni usando tecniche classiche di phishing, ma non di un attacco sistematico in corso ai danni di questi grandi nomi di Internet.

Intorno a queste fughe di dati nascono spesso siti che promettono di verificare se il vostro indirizzo è fra quelli presenti nelle collezioni, come è successo in questo caso con Isleaked.com, o addirittura di verificare la qualità delle vostre password. In generale non è il caso di fidarsi e di immettervi i propri dati: Isleaked, per esempio, è sospettato di collezionare gli indirizzi immessi per fare spamming. Immettere in un sito la propria password per provarne la robustezza è sconsigliabile, perché molti siti sono capaci di recuperare il vostro indirizzo di mail e quindi associarlo alla password.

Furto di più di un miliardo di login e password, ma occhio a chi se ne approfitta

Un bottino senza precedenti: oltre un miliardo di login e password rubate in mano a un gruppo di criminali informatici russi. Lo ha annunciato una società di sicurezza del Wisconsin, la Hold Security: si tratterebbe di una collezione di nomi utente e di password relative a circa 420.000 siti grandi e piccoli, compresi quelli di molte aziende di punta.

Secondo le informazioni fornite da Hold Security, i criminali userebbero
quest’immensa raccolta principalmente per fare spamming diretto ma
anche per vendere credenziali d’accesso ad altre bande: si tratterebbe
di una dozzina di persone che risiedono in una cittadina nella zona fra
Kazakistan e Mongolia e si dividono i compiti: c’è chi scrive il
software per rubare dati e chi effettua materialmente il furto usando il
software che sfrutta le falle dei siti.

I furti sarebbero avvenuti grazie a vulnerabilità dei siti, non degli utenti, ed è anche per questo che la notizia è un buon promemoria del fatto che non bisogna utilizzare mai la stessa password per più di un sito importante, ma va comunque presa con circospezione, perché la società che l’ha diffusa ora sta chiedendo agli utenti ben 120 dollari a testa per sapere se il loro sito o il loro account è fra quelli violati.

La faccenda, insomma, puzza un po’ di trovata autopromozionale, ma il messaggio di fondo resta valido: in generale, non fidatevi dei siti che propongono di “verificare” se le vostre password sono state rubate, perché potrebbe essere una tecnica astuta per convincervi a digitarle e quindi farvele rubare proprio da chi diceva di volervi proteggere.

Europol: non usate i WiFi pubblici, sono a rischio di furto di dati. Come difendersi

Europol: non usate i WiFi pubblici, sono a rischio di furto di dati. Come difendersi

Troels Oerting, responsabile dell’Europol (Ufficio di Polizia Europeo) per la lotta al crimine informatico, ha messo in guardia gli internauti contro il rischio di furto di dati sensibili se usano gli accessi WiFi pubblici.

In un’intervista alla BBC, Oerting ha segnalato la crescita degli attacchi effettuati utilizzando questi accessi “per rubare informazioni, identità o password e soldi… dovremmo insegnare agli utenti che non dovrebbero gestire informazioni sensibili quando usano un WiFi aperto non sicuro.” Il WiFi di casa va bene, ha aggiunto, ma è meglio evitare l’accesso senza fili spesso offerto da luoghi di ristoro o locali pubblici.

La tecnica d’attacco è semplice: il criminale crea un hotspot WiFi che somiglia a quelli pubblici (non è difficile, basta un laptop o uno smartphone) e convince le persone a collegarsi a Internet tramite quell’hotspot. In questo modo i dati delle vittime transitano dai dispositivi del criminale che, con il software opportuno, può intercettarli e decifrarli.

L’attacco in sé non è una novità (in gergo si chiama “man in the middle”, letteralmente “uomo che si mette in mezzo”): uno dei casi più noti riguarda il Parlamento europeo, che qualche mese fa ha spento il proprio sistema WiFi pubblico dopo che un informatico ha dimostrato quanto era facile usarlo per compiere proprio questo genere d’incursione.

La difesa, per fortuna, è semplice: usare la connessione dati cellulare invece del WiFi. Purtroppo questo diventa assai costoso se si è in roaming. In casi come questo si può usare il WiFi pubblico, avendo però l’accortezza di adottare un software di cifratura della connessione (VPN), che ha il vantaggio aggiuntivo di mascherare la reale posizione geografica e di scavalcare i filtri adottati da molti fornitori d’accesso (consentendo, per esempio, di vedere i video di Youtube che hanno restrizioni geografiche). Alcuni nomi: Anonymizer, Avast SecureLine, TunnelBear, disponibili per Windows, Android e iOS.

Rubate in massa le password di Yahoo

Rubate in massa le password di Yahoo

Avete presente quelle mail che vi avvisano che la vostra password deve essere reimpostata e bisogna cliccare su un link? Solitamente sono tentativi di rubare password, ma stavolta potreste riceverne una autentica.

Infatti ieri Yahoo ha annunciato che dovrà reimpostare le password delle caselle di mail di un numero imprecisato di suoi utenti perché ha rilevato “un tentativo coordinato di violare account” usando nomi utente e password di Yahoo presumibilmente ottenuti violando il database di una società esterna che non è stata identificata.

Il problema, come consueto, è che molti utenti usano la stessa password per proteggere account differenti, per cui questa violazione di account Yahoo può consentire ai criminali di accedere anche ad altri servizi utilizzati dagli utenti colpiti. Lo scopo del furto, inoltre, sembra essere la raccolta di “nomi e indirizzi di mail tratti dai messaggi più recenti degli account interessati”. Usando questi dati, i truffatori possono creare messaggi-esca più credibili perché fanno riferimento a persone conosciute dal singolo utente colpito.

Yahoo dice che gli utenti ai quali è stata sottratta la password riceveranno un invito a cambiarla e in alcuni casi anche un SMS di avviso. Se avete un account Yahoo e non volete cascare in eventuali trappole di truffatori che potrebbero confezionare falsi avvisi spacciandosi per Yahoo, non cliccate sui link nelle mail d’invito ma accedete manualmente al sito di Yahoo e fate login.

Possibile violazione di account di utenti, donatori e amministratori delle attività di Matteo Renzi

Questo articolo vi arriva grazie alla gentile donazione di “franco.bat*”.

Se fate parte del back office di Matteo Renzi e vi chiamate Elisa, se siete suoi manager (Michela, Carolina, Claudia, Roberta, Ilaria, Anna, Lorenzo, Eugenio, Giulia, Marco, Antonio), è decisamente consigliabile cambiare password. Infatti è pubblicamente disponibile in Rete un file che contiene quelle che sembrano essere le password legate a questi profili.

Sta circolando inoltre un file contenente quelli che sembrano essere circa 40.000 nomi, cognomi, numeri di telefono, password (molte nel formato pwd[numero]), indirizzi di casa, token Oauth e altro di utenti legati alle attività social (Twitter, Facebook, Instagram) di Renzi. Se siete fra questi, cambiate password. Se avete usato la stessa password altrove, cambiatela anche lì e non usate la stessa password per più di un sito.

Per il momento, però, non ho ancora ricevuto conferme o smentite alle
mie richieste di verifica: visto il rischio di sicurezza e il coinvolgimento di moltissimi privati cittadini,
preferisco comunque allertare pubblicamente con questo post in aggiunta ad avvisare privatamente i responsabili dei dati apparentemente trafugati.

Chi fosse interessato ai dettagli può contattarmi ai miei recapiti pubblici; tenete presente che per ovvie ragioni non posso fornire i file grezzi a nessuno a parte eventuali inquirenti.