Stasera alle 21 parteciperò a un hangout in diretta sulla sicurezza informatica insieme a Mattia Monga (Università di Milano), Lorenzo Rossi (Italia Unita per la Scienza) e Andrea Cocito (IFOM/IEO), con la moderazione di Romeo “Le Fou!” Gentile.
Domani (3 ottobre) sarò ospite della Giornata del Perito: una giornata di divulgazione ed approfondimento sul tema della sicurezza informatica e dei rischi connessi ad Internet, intitolata “Internet tra miti e realtà: sicurezza informatica, rischi reali e leggende metropolitane. Strategie e consigli per sopravvivere nel villaggio globale”.
Al mattino ci sarà una tavola rotonda, aperta al pubblico, che metterà a confronto esperti informatici, docenti universitari e operatori della sicurezza; nel pomeriggio ci saranno i seminari tematici rivolti ai professionisti del settore. I relatori sono elencati qui. La sede è il Dipartimento di Scienze Fisiche Informatiche e Matematiche, in Via Antonio Araldi 83-105. Se vi interessa, il programma dell’evento è qui.
Si sente spesso parlare degli attacchi di spionaggio informatico governativo o filogovernativo provenienti dalla Cina o dagli Stati Uniti, ma di quelli che partono dalla Russia si dice poco o nulla. Una recentissima ricerca pubblicata in inglese dalla società di sicurezza informatica F-Secure svela finalmente una parte significativa di questo mondo poco conosciuto.
La ricerca, intitolata The Dukes (i duchi) dal nome assegnato dai ricercatori ai malware coinvolti, ripercorre ben sette anni delle attività di un gruppo di spie informatiche che secondo F-Secure sono al servizio della Federazione Russa e raccolgono “dati di intelligence a supporto delle decisioni politiche estere e di sicurezza”.
I Dukes attaccano principalmente governi, ministeri, agenzie e aziende di paesi esteri in Asia, Africa, Medio Oriente, Europa e America, organizzazioni legate al terrorismo ceceno e gruppi russofoni dediti al commercio illegale di stupefacenti.
Colpisce molto la relativa semplicità delle tecniche usate: gli attacchi sfruttano per lo più lo spear phishing, ossia mail confezionate con cura su misura per lo specifico bersaglio allo scopo di indurlo a cliccare sui link o sugli allegati presenti nei messaggi e infettarlo, ma in almeno un caso è stato sfruttato anche un nodo russo della rete di anonimizzazione Tor iniettando malware nei file scaricati dagli utenti.
Fra gli strumenti sviluppati dall’organizzazione di guerra informatica c’è per esempio PinchDuke, che ruba password e identità su Yahoo, Google Talk e Mail.ru e attacca Outlook, Thunderbird e Firefox tramite un documento Word o Acrobat; c’è GeminiDuke, un malware di ricognizione che esplora le reti Windows per preparare successivi attacchi; c’è CosmicDuke, che registra le digitazioni e cattura schermate degli utenti infettati; e c’è CloudDuke, che accede ai dati delle vittime tramite il cloud, specificamente quello di Microsoft OneDrive.
Come fa F-Secure a sapere che questi malware sono di origine russa e legati almeno per intenti al governo russo? Lo indica il tipo di bersaglio preso di mira, che coincide con quelli di interesse per questo governo, la lingua russa usata per i messaggi d’errore presenti nei campioni di malware catturati, e l’uso di marcatori temporali riferiti all’ora standard di Mosca.
Anche la cronologia degli attacchi è molto illuminante: per esempio, prima dell’inizio della crisi in Ucraina i Dukes iniziarono a compiere attacchi di spear phishing usando finte mail di enti governativi dell’Ucraina per raccogliere informazioni. Inoltre la lunga durata nel tempo, il modo di agire con impunità e il coordinamento preciso, senza conflitti con altri malware, sembrano indicare un’organizzazione ben finanziata e strutturata che difficilmente potrebbe operare in Russia senza avere perlomeno l’approvazione del governo locale.
In mezzo a questa guerra di spie ci siamo inevitabilmente noi tutti, come vittime collaterali ma anche spesso come bersagli, perché vengono prese di mira non solo le grandi organizzazioni ma anche i loro dipendenti e affiliati alla ricerca dell’elemento debole che porti il malware dentro il cuore informatico del bersaglio. Conoscere le tecniche sorprendentemente banali usate spesso dalle spie informatiche ci permette di difenderci meglio dai loro attacchi. Per esempio, non aprire gli allegati senza adeguate protezioni e gestire le password con criterio invece di avere un atteggiamento facilone sarebbe già un ottimo passo avanti.
Fonti aggiuntive: Ars Technica.
 |
| Facepalm formato Godzilla meritatissimo. |
Questo articolo vi arriva gratuitamente e senza pubblicità grazie alla gentile donazione di “giampi*”. Se vi piace, potete incoraggiarmi a scrivere ancora (anche con un microabbonamento). Ultimo aggiornamento: 2015/09/08 11:00.
Non ci posso credere. Seagate, notissima marca di dischi rigidi, ha messo in vendita dei dischi accessibili via Wi-Fi lasciando nel firmware un accesso nascosto (raggiungibile via riga di comando con telnet) che permette a chiunque di leggere e scrivere sul disco stesso. Basta sapere il nome dell’account, che è un prevedibilissimo root, e indovinare la password di quest’account, che è ancor più prevedibilmente root.
I modelli contenenti questa simpatica funzione non documentata sono i Seagate Wireless Plus Mobile Storage, i Seagate Wireless Mobile Storage e i LaCie FUEL. La segnalazione proviene dal CERT.
Come se non bastasse questa falla, questi stessi dispositivi hanno altre due falle che permettono a chiunque di scaricare e, rispettivamente, caricare file di qualunque tipo via Wi-Fi.
Immaginate quindi chi compra questo genere di disco rigido pensando che sia un modo pratico per avere qualche cavo in meno in giro e poi scopre che chiunque può scaricarne il contenuto e può anche alterarlo, per esempio mettendovi versioni infette di applicazioni e copie taroccate di documenti oppure iniettandovi file compromettenti (“Caro, aspetta, posso spiegarti tutto, quel video con il burro di arachidi e il labrador me l’ha messo sul disco un hacker via Wi-Fi”).
Seagate ha pubblicato un firmware aggiornato, ma resta da vedere quanti clienti ne verranno informati e rimedieranno. Forse questa foga modaiola di eliminare i cavi (il cosiddetto cord-cutting) in favore delle connessioni senza fili andrebbe ragionata un attimo.
Aggiornamento (2015/09/08): Rispondo qui ai molti commenti che chiedono che senso abbia un disco rigido Wi-Fi, dato che comunque ha bisogno di almeno un cavo (l’alimentazione). Per esempio, ha senso se devo condividere lo stesso disco fra più utenti, specialmente in modo estemporaneo (vai a una festa, piazzi il tuo disco in condivisione, meglio se in sola lettura, e lasci che tutti ne scarichino foto, film o altro), oppure se il disco ha un filesystem non gestito dal dispositivo che vi vorrebbe accedere (un Mac che vuole scrivere su un disco NTFS, per citare un caso ricorrente).
La Federal Trade Commission, ente federale statunitense di tutela dei consumatori, ha pubblicato un dettagliato resoconto d’accusa nei confronti di Snapchat, l’azienda creatrice di una popolarissima app omonima che promette ai propri utenti un modo per scambiare video, fotografie e messaggi che si autocancellano dopo pochi secondi. La promessa è falsa e ingannevole e per questo Snapchat verrà messa sotto sorveglianza federale per vent’anni.
Come segnalato da tempo da molti esperti di sicurezza, le istantanee di Snapchat sono infatti facilmente catturabili in vari modi: per esempio usando app realizzate da altri produttori o facendo uno screenshot (cattura del contenuto dello schermo).
Snapchat prometteva anche che se il destinatario avesse fatto uno screenshot il mittente sarebbe stato avvisato immediatamente, ma in realtà c’erano vari metodi per catturare le schermate manualmente senza che Snapchat se ne accorgesse e avvisasse il mittente (per esempio premere due volte Home sui dispositivi che usano versioni di iOS inferiori alla 7).
Snapchat ha ingannato gli utenti anche a proposito della geolocalizzazione: prometteva di non raccogliere informazioni sulla posizione degli utenti, ma nella versione Android queste informazioni venivano raccolte e inviate ad agenzie specializzate in analisi a scopi di marketing, creando un database riguardante oltre quattro milioni di persone.
Un altro inganno riguarda la funzione di ricerca amici: Snapchat si leggeva di nascosto tutti i nomi e i numeri delle persone presenti nella rubrica dello smartphone. Cosa peggiore, chiedeva all’utente di immettere il proprio numero di telefonino ma non faceva alcun controllo di autenticità del numero immesso, per cui chiunque poteva creare un profilo Snapchat usando il numero di qualcun altro e ricevere immagini destinate ad altri oppure disseminare immagini imbarazzanti o offensive spacciandosi per un’altra persona.
Di recente Snapchat ha corretto alcune di queste falle, ma rimane tuttora il problema di fondo: le immagini, i messaggi e i video trasmessi con quest’app non sono affatto temporanei e possono essere sempre salvati e ritrasmessi. Non è solo un problema di Snapchat, ma di tutte le app che promettono di inviare messaggi effimeri che si autocancellano: c’è sempre il modo di salvarli. Non fidatevi.
Fonti: FTC, New York Times.
L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2011/07/06.
English AbstractItalian and Swiss media are reporting that the leader of an Anonymous branch involved in a series of attacks against prominent Italian websites has been (mis)identified as “Frey”, an Italian national living in Canton Ticino. Thirty-three locations have been searched (32 in Italy, one in Canton Ticino). A press conference of the Italian Police is scheduled for 10:45 am in Rome this morning. Details will follow as soon as they are available.
Stamattina il Corriere e Repubblica parlano di 32 perquisizioni avvenute all’alba in Italia e di una in Canton Ticino (“con l’ausilio della Polizia Cantonale Ticinese”) in merito al gruppo Anonymous e agli attacchi informatici “ai danni di siti istituzionali e di aziende di rilevante interesse nazionale”. “Il capo è il ticinese Frey”, secondo il Corriere, “un italiano di 26 anni che vive in Canton Ticino e il cui cognome, Frey, era anche il nickname usato nelle incursioni informatiche”. Se risultasse vero, “Frey” si meriterebbe subito un Darwin Award (grazie ad Eclipses per la segnalazione).
Aggiornamento (11:30) Infatti non è vero. Il Corriere del Ticino dice che il cognome di “Frey” non corrisponde al nickname e che la persona in questione sarebbe sotto interrogatorio alla Procura di Lugano (grazie a Motogio perla segnalazione). Altre fonti indicano che anche il nickname Frey è sbagliato (la grafia corretta sarebbe phre).
L’indagine è attribuita al CNAIPIC (Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche) della Polizia delle Comunicazioni italiana. Nessun accenno ad arresti, per ora: solo perquisizioni e tre persone denunciate (una è minorenne). Sempre secondo il Corriere, “La PolCom é entrata nella sua abitazione [di “Frey”] all’alba per perquisire le macchine da cui sono stati gestiti gli attacchi”.
Per ora non so altro, ma sto chiedendo informazioni. Sul sito della Polizia Cantonale Ticinese non c’è nulla; idem sui siti di SCOCI/KOBIK e di MELANI, sul versante svizzero degli eventi. Tio.ch ripete quanto detto dai giornali italiani, citandoli, e aggiunge che ci sarà una conferenza stampa alle 10:45 di oggi “presso gli uffici del Servizio Polizia Postale e delle Comunicazioni a Roma.” Se qualcuno ci può andare e fare un liveblogging o tweetare, mi avvisi.
Aggiornamento (13:00) Tio.ch ha pubblicato altri dettagli, indicando località di residenza e iniziali di “Frey” (ora corretto in “phre”).
Aggiornamento (14:00) Ho passato un po’ di tempo a monitorare uno dei canali “ufficiali” di Anonymous. L’impressione è di una piccola brigata di ragazzini armati solo di totale dilettantismo e disorganizzazione: davvero nessun altro, oltre alla persona sotto interrogatorio, aveva la password dell’account Twitter? Gente che fa DDOS senza anonimizzarsi o usare macchine altrui? E non sa come far arrivare un comunicato ai media? O è una finta mirabilmente ben costruita (dubito), oppure non è il caso di vantarsi di aver sgominato una superbanda di cybercriminali.
Aggiornamento (15:00) Questo è il comunicato della Polizia Cantonale ticinese, pubblicato poco prima delle 13: “Il Ministero pubblico e la Polizia cantonale confermano che oggi, presso il domicilio ticinese di un 26enne cittadino straniero, è stata effettuata una perquisizione da parte degli agenti del Gruppo criminalità informatica (GCI). L’intervento, richiesto tramite rogatoria, è avvenuto nell’ambito di un’inchiesta del Centro nazionale anticrimine informatico (CNAIPIC) della Polizia delle comunicazioni italiana, coordinata dalla Procura della Repubblica di Roma. L’indagine si riferisce ad attacchi informatici a danno di siti istituzionali ed aziendali della vicina Penisola. Durante la perquisizione è stato sequestrato materiale informatico che dovrà ora essere analizzato. Nei confronti del giovane il Procuratore Generale John Noseda ha aperto un fascicolo.”
Ieri ho contattato una persona che dichiara di essere uno dei membri di Anonymous Italia. Mi ha inviato questo comunicato stampa, che pubblico per completezza d’informazione e per far sentire la voce dei diretti interessati oltre che quella delle autorità.
Per via della natura di Anonymous, questo comunicato non va considerato come punto di vista ufficiale di Anonymous Italia perché non esiste in Anonymous nessuno che decida formalmente tale punto di vista. Rispecchia però buona parte della “filosofia” di quest’associazione amorfa e senza capi, così come emerge dalle sue attività e dalle discussioni che ho seguito.
Faccio un appello diretto ai giornali in modo da arrivare al popolo
Mi firmo come Anon-Divi e vi voglio dire chi noi Anonymous siamo veramente e
perché facciamo tutto questo.Anonymous nasce come un’idea, un’idea che unisce il popolo mondiale nella
lotta per i diritti umani e per la libertà. Gli stessi ideali che hanno
provocato la nascita di questa nuova fazione di Anonymous.Operation Green Rights è la sintesi della nostra frustrazione nel vedere la
razza umana schiava del dio denaro, per il quale commette omicidi, sfrutta e
opprime popolazioni e va contro i principi di democrazia e rispetto umano che
dovrebbero essere la base di ogni paese civile moderno. Abbiamo visto guerre
portate avanti per l’oro nero, popoli assoggettati da dittature comode per
accordi commerciali, miliardi spesi per la ricerca bellica e nucleare e fondi
tagliati per la ricerca su energie rinnovabili e petroliere affondate che
causano danni planetari.Inoltre il global warming, causato da queste politiche, è una realtà di cui
dobbiamo prendere coscienza. I ghiacciai si sciolgono, le maree si alzano, il
buco dell’ozono si allarga, cambia il clima, mutano le condizioni climatiche,
razze animali si estinguono..Le politiche mondiali attuali di molte grosse multinazionali e di molti
governi stanno calpestando i nostri diritti e quelli di ogni altro essere
vivente, soltanto in cambio di denaro.Noi di Operation Green Rights diciamo basta a tutto questo!
Noi di Operation Green Rights vogliamo poter donare ai nostri figli una vita
in un mondo civile che li accolga a braccia aperte mostrandogli rispetto per la
vita e per la natura stessa. Vogliamo che la Madre Terra continui a vivere in
salute e a favorire la vita con le sue bellezze. Vogliamo che lo sfruttamento
di popoli e il sangue versato nelle strade in nome dell’avarizia cessino.
Adesso vi risponderò alle domande che sono molto spesso frequenti su
Anonymous.1.Chi sono gli Anonymous?
Certa gente conosce anonymous come gente che che vuole fare casino in rete
solo per divertimento e per creare disagio alle persone, ma molti in realtà non
sanno che gli Anonymous fanno tutto ciò seguendo un ideale di rivoluzione o
almeno la maggiorparte.2. Chi può entrare a far parte degli Anonymous?
Chiunque, tutti possono entrare a far parte degli Anonymous, non bisogna
avere conoscenze particolati di informatica, Anonymous non è tutto un “Hacker”
o chissà cosa di pericoloso, come molti credono, ma è una persona come tutti..
che segue degli ideali e che vuole veramente cambiare qualcosa3. Molti sentono parlare di attacchi DDos effettuati da Anonymous, cos’è DDos?
Il DDos è un “arma, se così si può chiamare in grado di sovraccaricare il
server del sito in modo da renderlo inaccessibile, chiunque persone può usare
questo “programma” anche non avendo un minimo di esperienza informatica, basta
inserire il Link del sito da dossare (ma bisogna farlo in massa) e il gioco è
fatto.E per ultima cosa voglio proporvi un Manifesto hacker del 1986 di The Mentor:
” Noi esploriamo… e ci chiamate criminali. Noi cerchiamo conoscenza… e ci
chiamate criminali.
Noi esistiamo senza colore di pelle, nazionalità, credi religiosi.. e ci
chiamate criminali.
Si, io sono un criminale. Il mio crimine è la mia curiosità Il mio crimine è
quello di scovare qualche vostro segreto, qualcosa che non vi farà mai
dimenticare il mio nome.
Potete anche fermare me, ma non potete fermarci tutti… Dopo tutto, “Siamo
tutti uguali”Firmato: Anon-Divi a nome di Anonymous
Tio.ch ha pubblicato un aggiornamento sulla vicenda, con un resoconto di una visita alla località dove risiede Phre. Ticinonews.ch ha invece pubblicato un articolo che contiene anche un’intervista al sottoscritto sull’argomento: il virgolettato che mi viene attribuito è in realtà un sunto di quello che ho detto effettivamente.
L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2012/12/30.
La puntata di stamattina del Disinformatico radiofonico è pronta da scaricare. Ecco i temi e i rispettivi articoli: il mercato nero delle password vendute a 2 dollari, le ragioni dell’apparente immunità Apple ai virus, l’allerta per la vulnerabilità degli smartphone e tablet Samsung e Facebook troppo difficile per la sorella di Mark Zuckerberg. La parola di Internet di questa puntata è underweb. Buon ascolto e/o buona lettura.
Aggiornamento (2012/12/30): Gizmodo ha pubblicato altri dettagli della scenata di lesa maestà di Randi Zuckerberg.
Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle gentili donazioni di “icaro200*”, “antonio.bu*”, “robyv*” e “alberto.dol*”. Se vi piace, potete incoraggiarmi a scrivere ancora.
Ultimo aggiornamento: 2015/07/11 18:50.
HackingTeam ha venduto il proprio malware di sorveglianza di massa ai servizi di sicurezza del Sudan, il cui governo ha una lunga e ben nota storia di abusi dei diritti umani: schiavitù, genocidio e uso di bambini come soldati, oltre che persecuzione di chi si batte per il rispetto di questi diritti.
La vendita risulta dalla fattura per 480.000 euro pubblicata fra i dati trafugati all’azienda (immagine parziale qui accanto). È davvero difficile pensare che i responsabili di questa vendita non sapessero in che sorta di mani stessero mettendo strumenti così letali.
In un’intervista all’International Business Times, il portavoce di HackingTeam, Eric Rabe, ha difeso oggi l’operato dell’azienda facendo notare che la fattura in questione (di cui non ha smentito l’autenticità) risale al 2012, quando il Sudan non era ancora nella lista nera dell’ONU. Una difesa abbastanza fragile, dato che ben prima che entrasse formalmente in lista nera il Sudan non era un paese al quale si poteva vendere malware di sorveglianza sperando che venisse usato eticamente e a fin di bene. Ora nuovi documenti smontano questa difesa e dimostrano che i rapporti di HackingTeam con il governo sudanese sono proseguiti almeno fino a gennaio 2014. Ma partiamo dall’inizio.
L’ipotesi che HackingTeam facesse affari con il Sudan, basata sulle indagini tecniche di Citizen Lab, aveva già spinto le Nazioni Unite ad incaricare un comitato di esperti di investigare sull’azienda a settembre 2014, anche perché tali affari sarebbero stati probabilmente in violazione delle sanzioni europee sul commercio di armi militari verso il Sudan.
Come racconta in dettaglio Motherboard, HackingTeam inizialmente ha risposto all’ONU che il Sudan non era uno dei suoi clienti e poi ha detto all’ONU che il software non è considerato un’arma e che quindi le Nazioni Unite non hanno l’autorità per fare domande. Ma HackingTeam non ha mai chiarito se aveva avuto affari in passato con il governo del Sudan.
Ora, grazie ai dati trafugati, sappiamo che li aveva avuti. La fattura, fra l’altro, riguarda solo metà dei pagamenti ricevuti dal Sudan, che ammontano in tutto a 960.000 euro.
David Vincenzetti, CEO di HackingTeam, era indubbiamente al corrente delle perplessità dell’ONU: a febbraio rispose al comitato di esperti delle Nazioni Unite usando toni decisamente aggressivi e dicendo che ogni ulteriore richiesta del comitato di esperti gli sembrava una violazione ingiustificata e ingiustificabile del diritto al segreto commerciale. Il 21 aprile, Vincenzetti addirittura ha accusato l’inchiesta ONU di essere un danno per la reputazione e l’immagine di HackingTeam.
L’ONU ha chiesto ancora a HackingTeam ben cinque volte (l’ultima il 15 maggio scorso) di chiarire se l’azienda avesse mai fatto affari con il Sudan. HackingTeam non ha mai risposto.
Questo muro del silenzio si è infranto con la fuga di dati di ieri, dalla quale sono emersi documenti che smentiscono le parole di HackingTeam. Tanto per cominciare, c’è l’elenco dello stato dei rapporti con vari paesi. Per il Sudan, al posto di Active (attivo) o di Expired (scaduto) usati per gli altri paesi clienti (tranne la Russia), c’è una frase compromettente: “12/31/2014 Not officially supported” (non supportato ufficialmente). Sarebbe molto interessante chiedere ad Eric Rabe di spiegare il significato di questa frase.
La paziente analisi collettiva dei documenti interni di HackingTeam ora resi pubblici ha rivelato oggi anche un altro documento di HackingTeam che parla di una fattura “116/2012” etichettata “NISS” per un importo di 76.000 (euro, si presume) all’interno di un elenco etichettato “Fatture 2013 da riaprire”.
Ma soprattutto sono state segnalate oggi due mail dello staff di HackingTeam in cui viene prestata assistenza al Sudan il 15 gennaio 2014 proprio per il malware di sorveglianza RCS. La scusa che la fattura trafugata è del 2012 e che quindi non ci sono più rapporti con il governo del Sudan ha insomma seri problemi di credibilità.
Trascrizione delle mail (evidenziazioni aggiunte da me):
Da: Alessandro Scarafile [a.scarafile@hackingteam.com]
15/01/14 10:02
Oggetto: Problema core iOS in RCS 9.1.14
A: ornella-dev@hackingteam.comVi segnalo un’anomalia urgente e bloccante rilevata in Sudan, durante l’installazione di RCS 9.1.4 + hotfix.
Durante la build di un Installation Package per iOS, si ottiene l’errore “Core for ios not found…” (screenshot allegato).
La cosa è evidentemente collegata alla mancanza dell’indicazione del core per iOS nella sezione Monitor (screenshot allegato).Segnalo anche che “ogni tanto” (misurato su alcuni login/logout dalla console) non viene mostrato il numero di versione di RCS (screenshot allegato).
Spero che il problema per iOS possa essere risolta [sic] semplicemente caricando a mano il core, in quanto la connessione internet da qui non consentirebbe – al momento – il download di un intero file di installazione di RCS.
Grazie,
Alessandro
Da: Alessandro Scarafile [a.scarafile@hackingteam.com]
15/01/14 10:11
Oggetto: Supporto Anonymizers RCS 9.1.14
A: ornella-dev@hackingteam.comCondivido direttamente su “ornella-dev” un altro problema che abbiamo in Sudan, per avere supporto rapido, in quanto siamo di fronte al cliente.
2 Anonymizers correttamente installati. La sezione System della Console continua a mostrare in rosso SOLO quello più vicino al Collector.
Le connessioni in SSH sulle macchine Linux dicono che i sistemi sono up and running; il daemon dell’anonymizer è in piedi e attivo.
“Allontanando” un Anonymizer dal Collector e posizionandolo come ultimo hop… diventa verde in Console.Non credo questo comportamento possa essere collegato a qualche firewall (che non hanno), in quanto a quel punto il Collector non riuscirebbe nemmeno a parlare con l’Anonymizer più “lontano”.
Avete suggerimenti su cosa potrebbe essere?
Forse qualcosa in fase di installazione? (che spiegherebbe anche i problemi sul core iOS della mia e-mail precedente).FYI di seguito i dati dei 2 VPS:
IP: 46.251.239.129
User: root
Pass: ousKvawcAHIP: 46.251.239.130
User: root
Pass: Wb9cofhJjj
Sarà molto interessante chiedere al portavoce di HackingTeam di giustificare questi segni di attività recente con i servizi di sicurezza del Sudan.
L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2015/07/11 18:50.
Wikileaks ha messo online un archivio cercabile contenente oltre un milione di mail provenienti dalla fuga di dati che ha colpito HackingTeam.
Se in questi primi giorni le indagini giornalistiche per verificare eventuali collaborazioni dell’azienda italiana con governi repressivi sono state ostacolate dalla difficoltà tecnica di scaricare i 400 gigabyte di dati trafugati o di sfogliarne online le varie parti, ora chiunque può cercare in tutta la corrispondenza di HackingTeam con un semplice clic.
Per esempio, una ricerca di “IP address” insieme a “VPS” rivela molte comunicazioni interessanti e dettagli dell’infrastruttura di sorveglianza di HackingTeam. Una ricerca per “gov.sa” rivela comunicazioni con indirizzi governativi dell’Arabia Saudita, e così via. Altre parole chiave potenzialmente interessanti sono exploit, Eric.rabe, e.rabe, leak e leaker.
Dall’archivio di mail risultano scambi anche recentissimi con i servizi di sicurezza dell’Etiopia, come questa mail del 10 giugno 2015:
David, Giancarlo,tomorrow at midnight the temporary, read-only license we gave to INSA is going to expire. Since we issued this last license. We have not received any reply from them, on any channel.I would wait and see if anything moves on their side, or do you want to anticipate action (e.g., issue a new license)?Thanks,Daniele
E si vede anche il commercio di exploit (vulnerabilità) per Adobe Flash, negoziate da HackingTeam (grazie a @mme_bathory per la segnalazione):
Vitaly ci aveva mandato due exploit gemelli(differente vulnerabilita’ ma
stessi target) che aveva accorpato in un unica descrizione… abbiamo
preso uno… prendiamo l’altro?#1,#2 (two 0days) Adobe Flash Player
versions: 9 and higher
platforms: 32- and 64-bit Windows, 64-bit OS X
price: $45k by three monthly paymentsGli chiederi semplicemente conferma che siano effettivamente due
distinte vulnerabilita’ in parti diverse del codice(per evitare che
patchato uno perdiamo pure l’altro).Senno’ c’era anche l’opzione 3 (credo che 32-bit windows vada bene per
browser a 32-bit su architettura x64, da verificare nel caso):#3 Adobe Flash Player
versions: 11.4 and higher
platforms: 32-bit Windows
payload: calc.exe is launched on Windows
price: $30k by two monthly payments
In pratica HackingTeam sta discutendo l’acquisto di vulnerabilità inedite per Adobe Flash che sono presenti in milioni di computer e invece di renderle pubbliche per consentire a tutti di essere più sicuri se le vorrebbe tenere per sé per usarle nei propri prodotti di sorveglianza. È l’equivalente di scoprire una malattia e tenere per sé la cura per farci dei soldi.
Ma non è il caso di pensare che HackingTeam sia l’unica a fare commerci loschi di questo genere. Un’altra mail di HT fa infatti quest’osservazione a proposito di ditte concorrenti:
Ribadisco l’importanza di prendere contatti: ci saranno un sacco di researchers asiatici e non solo con exploit da vendere e *****, te l’assicuro, compra in questo modo la maggior parte degli exploits che poi, debitamente controllati e ripuliti, vengono venduti a 10 volte il prezzo originario.
[…]
I HAVE strong, incontrovertible EVIDENCE that the most famous 0-day vendors (e.g., *****, *****) do NOT create/find/research the vast majority of the numerous exploits they sell.
According to my intelligence information I can tell you that only about ** 30% ** of the exploits in such famous 0-day vendors’ commercial catalogs have been internally researched.
That is, an amazing 70%, of the exploits actually commercially proposed by such exploits vendors are BOUGHT from THIRD PARTIES, then worked out, possibly enhanced, polished and eventually sold to their own clients with hefty profit margins.
When at the conference, I urge you to start building up as many commercial relationships with new exploits researchers and minor/still unknown exploit vendors as possible. We need external resources in order to effectively compete, and win, in the 0-day game.
Così fan tutti, insomma, e allora facciamolo anche noi. Da notare che quella che per noi utenti è un’infezione potenzialmente devastante per loro è un game: un gioco. E a furia di giocare con i virus, se li sono lasciati sfuggire.
L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento ore 16:55.
Se vi trovate con Flash bloccato anche se avete quella che vi sembra essere la versione più recente, è perché la vostra versione (la 18.0.0.203) è stata bloccata automaticamente in Firefox poche ore fa.
Aggiornamento (12:00): sul sito di Adobe è disponibile ora la versione 18.0.0.209 di Flash per i principali sistemi operativi.
Aggiornamento (16:55): La versione 209 è scaricabile anche da questa pagina di Adobe.
Se le vostre impostazioni di aggiornamento automatico non hanno ancora reagito, occorre forzarli manualmente scaricando e installando l’aggiornamento. Un fenomeno analogo si sta verificando, stando alle segnalazioni di molti utenti, anche in Google Chrome, che prossimamente introdurrà il “blocco intelligente” degli elementi Flash.
Il primo tipo di blocco è dovuto alle vulnerabilità rivelate dalla fuga di dati da HackingTeam e insieme al secondo è una mazzata per gli inserzionisti pubblicitari che insistono a usare Flash per inserire le pubblicità nei siti e per tutti quelli che hanno costruito siti-vetrina in Flash.
Adobe dice che si sta adoperando per turare le falle del proprio prodotto e che oggi dovrebbe essere pronto un aggiornamento che elimina le vulnerabilità CVE-2015-5122 e 5123, ma dopo oltre una dozzina di aggiornamenti soltanto quest’anno si moltiplicano gli inviti ad abbandonare definitivamente questa tecnologia, sfruttatissima dai criminali informatici anche grazie alla sua onnipresenza.
Già lo aveva fatto Steve Jobs nel 2010; ora uno di questi inviti a mollare Flash viene da Alex Stamos, capo della sicurezza di Facebook, che propone di fissare una data entro la quale tutti i browser bloccheranno Flash. Sembra che quel giorno sia arrivato con un certo anticipo o che questo sia il primo rintocco della campana a morto per questo prodotto colabrodo di Adobe.
Fonti aggiuntive: Ars Technica.
Devi effettuare l'accesso per postare un commento.