Vai al contenuto

sicurezza informatica

Basta un Wi-Fi ostile per mandare in tilt un iPhone o iPad

Basta un Wi-Fi ostile per mandare in tilt un iPhone o iPad

Parrebbe impossibile che un semplice segnale Wi-Fi possa mandare in crash uno smartphone, ma è così: i ricercatori della società di sicurezza Skycure hanno presentato pochi giorni fa la dimostrazione di come si può rendere inservibile qualunque dispositivo iOS recente (tipicamente iPhone e iPad) che usi iOS 8, semplicemente facendolo finire nel raggio d’azione di un’antenna Wi-Fi. Il telefonino o tablet entra in un ciclo di avvio e spegnimento continuo dal quale non c’è modo di uscire (a parte allontanarsi dall’antenna del Wi-Fi).

La trappola consiste in un certificato SSL alterato, inviato via Wi-Fi ai dispositivi iOS, che induce le app e iOS stesso ad andare in crisi. La difesa, a prima vista, sembra ovvia: basta non collegarsi ai Wi-Fi sconosciuti. Ma c’è un problema: i dispositivi iOS sono programmati in modo da connettersi automaticamente alle reti Wi-Fi che hanno certi nomi (per esempio attwifi per chi compra un abbonamento della società telefonica statunitense ATT).

Basta usare uno di questi nomi per la rete Wi-Fi ostile e i dispositivi vi si connetteranno automaticamente, andando in crash e riavviandosi talmente in fretta che non ci sarà modo di accedervi e spegnere il Wi-Fi. Immaginate cosa potrebbe fare un attacco del genere per esempio a Wall Street o in un centro commerciale o un ristorante: zittirebbe tutti gli iPhone, ma probabilmente farebbe imprecare rumorosamente i loro proprietari.

L’attacco è selettivo per i dispositivi iOS; gli Android e Windows Phone ne sono immuni. Skycure sta già collaborando con Apple per risolvere il difetto, ma nel frattempo è prudente tenere spento il Wi-Fi del proprio telefonino quando non si è vicini alla propria rete Wi-Fi fidata.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Quant’è facile attaccare i cartelloni pubblicitari digitali, se la password è ovvia

Quant’è facile attaccare i cartelloni pubblicitari digitali, se la password è ovvia

Il cartellone in questione dopo l’intervento riparatore

Se un informatico ti avvisa di una falla di sicurezza, ascoltalo: non mandarlo via in malo modo. Questa è la lezione imparata nel modo più amaro da una società statunitense che gestisce cartelloni pubblicitari digitali.

L’informatico in questione è Dan Tentler, che durante una ricerca di sicurezza effettuata usando Shodan si è accorto di una lacuna di sicurezza clamorosamente dilettantesca nei cartelloni pubblicitari, e in particolare in quelli della Yesco: questi cartelloni, che sono in sostanza dei giganteschi monitor collegati a un computer, erano connessi a Internet. Già questa è un’idea stupida, ma c’è di più: non c’era alcuna protezione, nessun firewall, nessuna password. O se c’era una password, era la più idiota che si potesse immaginare: il nome dell’azienda.

Diligentemente, Tentler ha contattato la Yesco per avvisare del problema. La risposta della Yesco? Non erano interessati.

Tentler aveva segnalato pubblicamente il problema senza fare nomi e senza fornire dettagli specifici, ma la semplice menzione dell’idea che i cartelloni pubblicitari digitali fossero stupidamente connessi a Internet ha ispirato qualcuno a cogliere l’occasione per una dimostrazione molto eloquente.

Ad Atlanta, in Georgia, uno di questi cartelloni è stato riprogrammato per mostrare un’immagine maschile estremamente pornografica, molto conosciuta in Rete (non vi consiglio di cercarne i dettagli se non volete che vi rimanga impressa a vita), creando allarme e scompiglio fra i passanti e addirittura allertando l’FBI, come racconta la TV locale.

Il rimedio drastico all’immagine gigantescamente imbarazzante è stato quello di spegnere la corrente al cartellone. Poteva andare molto peggio: gli aggressori avrebbero potuto prendere il controllo di migliaia di questi cartelloni, che tuttora sono privi di protezione informatica adeguata. Le parole del presidente dell’associazione dei pubblicitari della Georgia suonano decisamente stonate: “Il nostro settore ha stabilito dei protocolli chiari e severi sulla sicurezza per prevenire le violazioni informatiche dei cartelloni pubblicitari digitali”. Sarà, ma evidentemente non le fa rispettare. E purtroppo sono tante le aziende che connettono i propri prodotti a Internet senza curarsi minimamente della loro sicurezza e di quello che un malintenzionato, o semplicemente un burlone, potrebbe fare.

Fonte aggiuntiva: Gawker.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

Perché HackingTeam discuteva di malware dentro l’App Store di Apple?

È importante non saltare a conclusioni affrettate, ma questa mail di HackingTeam del 20 marzo scorso sembra parlare dell’esistenza recente di malware dentro l’App Store, capace di catturare “audio e screenshot a distanza”, senza richiedere jailbreak. Il malware sarebbe realizzato da un’azienda italiana. Se quest’apparenza venisse confermata, sarebbe uno smacco notevole per il modello di sicurezza di Apple.

L’app citata nella mail, YouEat, è tuttora presente nell’App Store (link intenzionalmente alterato da me), ma non è chiaro neanche ai membri di HackingTeam se sia quella l’app infettante spiona.

Ho contattato Apple segnalando la questione e sono in attesa di risposta.

Questi sono i punti salienti della mail di HackingTeam: ho sostituito con asterischi alcuni nomi e riferimenti.

2015-03-20 10:27:55 UTC
From ******@hackingteam.com
To *****@hackingteam.com, *****@hackingteam.com

Check this out (DON’T INSTALL): https://itunes.apple.com/tr/app/youeat-2.0/id877619161?mt=8
YouEat 2.0 ****** More by This Developer

YouEat is a companion application for the web site http://youeat.org. It’s free and opensource.
http://www.youeat.org
Magari non c’entra nulla, ma puzza …

[…]

Food for thoughts:

Ragazzi abbiamo ricevuto un messaggio da ********** riguardo la soluzione per iOS proposta al momento da RCS.
In pratica si tratta di una soluzione che su ogni iphone NO-JB riescono a prendere audio e screenshot. La società si chiama ****** e pare funzioni da 7.1.2 ma sulla 8 non hanno screenshot.

Guardando il loro sito e la loro expertise su gestione sicurezza mobile mi sembra plausibile che abbiano creato una app con specifiche funzionalità come siamo partiti noi. Il tutto just for your info,

[…]

aggiornamenti: per quanto riguarda ios l’azienda che ha fatto il software x iphone (solo audio e screenshot a distanza) si chiama ******* lui ha un socio che lavora all estero, san francisco. in azienda cè solo una persona che occupa di ios. è stato testato su iphone 4s con ios 7.1.2. dalla 8 in poi non funzionano più gli screenshot e comunque non è stato testato. io ho visto il prodotto circa 20 gg fà, ma da qualche giorno hanno fatto un accordo con *******. già **** publicizza il tutto dando il prodotto come funzionale e senza jailbreak. cercherò di aver altre info.( se ti fa piacere)

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Voto elettronico: ecco perché serve la verificabilità dei sistemi

Voto elettronico: ecco perché serve la verificabilità dei sistemi

Il voto elettronico è oggetto di grande interesse in molti paesi, ma è anche irto di sfide tecniche e di sicurezza non banali. Imparare dagli sbagli altrui, in questo campo, è molto salutare. E lo stato statunitense della Virginia ha commesso uno sbaglio epico con il proprio sistema di voto informatizzato.

Il sistema, denominato WINVote, era un vero colabrodo, come spiega il rapporto delle autorità locali. Le password di amministrazione erano ridicolmente facili, come per esempio abcde; la password predefinita era admin. Le macchine avevano una connessione Wi-Fi permanentemente accesa e usavano una cifratura debolissima, il WEP, consentendo facilmente a chiunque di intercettare e manipolare i dati trasmessi. Ciliegina sulla torta, il sistema operativo era Windows XP Embedded 2002, mai aggiornato, privo di qualunque patch di sicurezza e vulnerabile ad attacchi noti sin dal 2004.

Anche dal punto di vista fisico il sistema WINVote era un capolavoro d’inettitudine. I suoi dispositivi di voto avevano porte USB accessibili e la stampante e il pulsante d’accensione erano protetti da una serratura che poteva essere aggirata facilmente. I database contenenti i risultati di voto erano in chiaro e modificabili con qualunque software comune di editing.

Potreste pensare che questo tipo di vulnerabilità, completamente inaccettabile in un apparato dal quale dipende un evento delicato ed essenziale come una votazione, sia stato scoperto durante la valutazione preliminare del sistema di voto. Assolutamente no: WINVote è stato usato in Virginia per oltre un decennio ed è stato ritirato soltanto dopo anni di proteste degli esperti di sicurezza della Electronic Frontier Foundation.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Account Twitter della Rai promuove film porno

Account Twitter della Rai promuove film porno

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alla gentile donazione di “anna_cine*”. Se vi piace, potete incoraggiarmi a scrivere ancora.

L’account Twitter autenticato @SanremoRai ha al momento come ultimo tweet un invito a visitare un sito di video porno.

Complimenti ai responsabili dell’account per questa svolta nel marketing e nella gestione della sicurezza informatica.

Ho segnalato pubblicamente il problemino su Twitter e avvisato @rainews un’oretta fa e non è ancora cambiato nulla: il pornotweet è ancora al suo posto, ricevuto da 92.000 utenti.

Ovviamente sconsiglio vivamente di visitare il sito reclamizzato senza abbondanti protezioni antimalware. Fra l’altro, uno dei video proposti dal sito reclamizzato dall’account della Rai riguarda Belen Rodriguez e se non erro risale a quando lei era minorenne, per cui scaricarlo o fornirlo può implicare il reato di pedopornografia.

Ringrazio @corsicotrota per la segnalazione.

Aggiornamento (12:55): il tweet pro-porno è stato rimosso e al suo posto è comparso alle 10:53 questo messaggio di scuse:

SanremoRai
Come già evidente a molti, stamattina qualcuno si è intromesso nel nostro account. Ci scusiamo per l’accaduto
05.03.15 10:53

Aggiornamento (2015/03/11): il 5 marzo scorso Giornalettismo ha raccolto i migliori commenti sulla vicenda.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
GoPro intercettabili via Wi-Fi

GoPro intercettabili via Wi-Fi

Si parla tanto di Internet delle Cose: tutto deve essere interconnesso. Si parla meno dei problemi di sicurezza e di privacy che quest’interconnessione può causare inaspettatamente.

Un esempio? Fate attenzione se avete usato le funzioni Wi-Fi della videocamera sportiva GoPro: la password che consente accesso alla videocamera e di vederne foto e video tramite smartphone era custodita in chiaro sul sito della GoPro.

Infatti il ricercatore di sicurezza informatica israeliano Ilya Chernyakov ha scoperto che c’era un difetto nella procedura di ripristino di nome e password Wi-Fi della GoPro, per cui l’identificativo SSID e la password della rete Wi-Fi create dalla videocamera venivano custoditi sul sito della GoPro in un file il cui link era facilissimo da indovinare (era basato su un numero progressivo). A titolo dimostrativo, Chernyakov ha scaricato le password di più di mille utenti GoPro.

In pratica questa falla consentiva a chiunque fosse a portata del segnale Wi-Fi di una GoPro di intercettarne le immagini e prenderne il controllo. Dato che queste videocamere vengono spesso usate non solo per riprese sportive ma anche per altre attività più intime, il rischio era significativo. La falla è stata notificata responsabilmente al produttore e ora è chiusa.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Pensieri sull’Internet delle Cose

Pensieri sull’Internet delle Cose

Un tempo questo era soltanto un film.
Oggi è un documentario.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alla gentile donazione di “morenotr*”, “ebaysto*” e “simone@bad*”. Se vi piace, potete incoraggiarmi a scrivere ancora.

Televisori “smart” che ascoltano quello che dici, annotano quello che guardi e lo riferiscono ai fabbricanti (Samsung, LG). Smartphone che tracciano la tua posizione (tutti). E-reader che dicono ai loro fabbricanti cosa leggi, quando e per quanto tempo (Kindle, Kobo, Nook, Sony, Google Books). Dispositivi digitali di fitness che mandano a chissà chi le tue pulsazioni. Sistemi di domotica che dicono a Google quando sei in casa e in che stanza sei (Nest). Malware preinstallato da Lenovo sui PC. NSA che viola i fabbricanti di SIM per intercettare tutti i telefonini e preinfetta i dischi rigidi per spiare i computer.

“Io non voglio l’Internet delle Cose. Voglio l’Internet delle Cose che si Fanno i Cazzi Loro” — anonimo.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Raffica di aggiornamenti: Firefox, Java, Flash

Raffica di aggiornamenti: Firefox, Java, Flash

Sono già in corso attacchi che sfruttano le vulnerabilità corrette dagli ultimi aggiornamenti di Firefox (arrivato alla versione 35), Flash e Java, per cui non è il caso di perdere tempo: controllate se avete la versione più recente (qui il test per Flash; qui quello per Java) e se necessario aggiornatevi subito scaricando Flash e Java aggiornati (se ne avete bisogno).

Dato che alcuni di questi attacchi funzionano semplicemente convincendo gli utenti di computer vulnerabili a visualizzare una pagina Web appositamente confezionata, è buona cosa impostare Flash in modo che si attivi soltanto sulle pagine di buona reputazione: in Firefox, per esempio, andate in Strumenti – Componenti aggiuntivi (Add-on) – Plugin e impostate Shockwave Flash e Java a “Chiedi prima di attivare”, mentre in Chrome andate in Impostazioni – Mostra impostazioni avanzate – Privacy – Impostazioni contenuti – Plugin – Blocca per impostazione predefinita. Conviene inoltre usare soluzioni come Adblock per bloccare le pubblicità basate su Flash, che possono veicolare alcuni attacchi in corso non ancora bloccati dagli aggiornamenti.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Thunderstrike: come infettare un Mac permanentemente in pochi minuti

Thunderstrike: come infettare un Mac permanentemente in pochi minuti

Circola da tempo la diceria che in alcuni paesi vengano usati, durante i controlli in frontiera, dei sistemi ultraveloci per infettare i computer dei sospettati o delle persone ritenute interessanti per ragioni di sorveglianza o spionaggio. Sembra uno scenario da film, perché pare impossibile scavalcare in pochi minuti le protezioni di un buon computer odierno, ma Ars Technica analizza in dettaglio un tipo di attacco, denominato Thunderstrike, che è in grado di infettare rapidamente un Mac usando un dispositivo collegato alla sua porta Thunderbolt.

In sintesi, un aggressore che abbia accesso fisico al Mac deve soltanto riavviare il computer mentre il dispositivo di attacco è connesso appunto alla porta Thunderbolt del Mac. Se il computer è protetto da una schermata di blocco, all’aggressore basta tenere premuto per alcuni secondi il tasto di accensione, in modo da obbligarlo ad effettuare un hard reboot. Il malware installato sul dispositivo Thunderbolt è un bootkit, ossia un software che sostituisce il firmware normale di avvio del Mac e quindi scavalca le password sul firmware e quelle che proteggono la cifratura del disco.

Il malware, operando a livello del firmware, è indipendente dal sistema operativo e sopravvive persino a una formattazione e alla reinstallazione del sistema operativo. Inoltre sostituisce la firma digitale usata da Apple per consentire ai Mac di eseguire solo firmware autorizzato, per cui diventa estremamente difficile da eliminare da un computer infettato.

Si tratta, a quanto risulta, del primo bootkit per Mac: è decisamente inquietante, ma per ora si tratta soltanto di un malware dimostrativo, non circolante in Rete, che è stato creato da un esperto, Trammell Hudson. Hudson ha segnalato la vulnerabilità ad Apple, che la sta correggendo tramite degli aggiornamenti.

In attesa che questa falla venga chiusa, ci sono soltanto due rimedi: uno è assicurarsi che il proprio Mac non rimanga mai incustodito dove può essere maneggiato da qualcuno (per esempio in camera in albergo, dove gli addetti alle camere possono entrare) e l’altro è sigillare fisicamente la porta Thunderbolt, cosa non proprio pratica, dato che da questa porta passano i collegamenti per i monitor esterni e per moltissimi altri dispositivi.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Mega-attacco a Sony Pictures, buona occasione per ripassare le proprie norme di sicurezza

Mega-attacco a Sony Pictures, buona occasione per ripassare le proprie norme di sicurezza

Sony Pictures ha subito un’aggressione informatica di portata senza precedenti basato in parte, secondo le prime informazioni, su un particolare malware, analizzato qui da Trend Micro e battezzato Wiper (“azzeratore”) per la sua tendenza a cancellare il contenuto dei computer infettati, tanto da rendere impossibile riavviarli senza un ripristino del sistema operativo. Ma ci sono indicazioni che chi ha commesso l’attacco conosceva già dettagli della struttura interna della rete informatica di Sony Pictures.

Molte fonti citano la Corea del Nord come paese istigatore dell’attacco, ma per ora mancano prove concrete (chi ha compilato il malware usava il coreano come lingua di sistema, ma questo non dimostra nulla): quello che si sa è che le rivendicazioni citano un film della Sony Pictures di prossima uscita, The Interview, che mette ampiamente alla berlina il leader nordcoreano.

Quello che colpisce di questo attacco è la sua portata: sono stati trafugati terabyte di dati, compresi cinque film non ancora distribuiti; è stato preso il controllo di vari account Twitter di Sony Pictures; sono stati disseminati dettagli del personale e dei loro stipendi, oltre a comunicazioni interne che rivelano cosa si pensa, fra i dirigenti, delle varie celebrità di Hollywood. Ma tutto questo è stato reso possibile da una disinvoltura impressionante nella gestione della sicurezza da parte della Sony: interi elenchi di password erano custoditi in semplici file di testo o spreadsheet privi di qualunque cifratura. Sembra che dall’attacco devastante di tre anni fa contro il Sony Playstation Network non sia stato imparato davvero nulla.

Quale che sia la sua origine, l’attacco è una buona occasione per ogni responsabile di sistemi informatici per ripassare e riesaminare la sicurezza dei siti aziendali che gestisce e per far capire ai dirigenti che è necessario investire in sicurezza (vera, non di facciata) e in educazione del personale, affinché diventi chiaro che una mail normale non è un messaggio privato e che mettere le password in un documento Excel non cifrato è da incoscienti.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.