MELANI racconta sei mesi di crimini informatici

Questo articolo vi arriva grazie alle gentili donazioni di “mykeike” e “emanuele.laf*” ed è stato aggiornato dopo la pubblicazione iniziale.

Il rapporto semestrale 2009/2 della Centrale d’annuncio e d’analisi per la sicurezza dell’informazione MELANI (http://www.melani.admin.ch; la sigla sta per Melde-und Analysestelle Informationssicherung) mette da parte i sensazionalismi di molti media generalisti e getta luce sul vero quadro delle minacce informatiche e dei crimini online e sulla loro evoluzione, contrastata appunto da organismi come MELANI, mostrando come la sicurezza informatica non sia un problema astratto che riguarda qualcun altro ma arriva ovunque e deve essere affrontato sia dal singolo cittadino sia dalle aziende.

Nelle quaranta pagine del documento PDF, disponibile in italiano, francese, tedesco e inglese, vengono esaminate e descritte le principali forme d’attacco informatico utilizzate a livello mondiale e nazionale. Si spazia dall’attacco tramite virus ai danni del Dipartimento federale degli affari esteri al defacement di circa 300 siti svizzeri dopo l’accettazione dell’iniziativa sul divieto di costruzione di minareti. Vengono descritti gli attacchi tramite DDOS (Distributed Denial of Service) ai siti erotici svizzeri, motivati forse dalla concorrenza sleale o da considerazioni morali. Anche gli assalti informatici a Twitter, Facebook, Livejournal e Google sono presi in considerazione, insieme alla divulgazione della corrispondenza privata di un gruppo britannico di ricercatori sul clima poco prima del vertice di Copenaghen a dicembre scorso.

Gli utenti di Facebook saranno particolarmente interessati all’analisi dettagliata dell’attacco agli account di questo social network effettuato mediante il cavallo di Troia Koobface, che ha avuto ripercussioni importanti anche in Svizzera. Anche l’esplorazione dei forum russi di vandali e malviventi digitali è molto ricca ed educativa: esistono veri e propri mercenari del crimine, secondo il modello del Crimeware as a service.

Ci sono anche truffe più tradizionali, come le false lettere o e-mail che esigono pagamenti per la registrazione di domini internet a nome di aziende. Ma la moda del momento sembra essere quella dello scareware/rogueware (siti o e-mail che impauriscono gli utenti avvisando che il loro computer è infetto e offrono di rimediare vendendo loro programmi dall’aspetto molto convincente, ma in realtà del tutto inefficaci o addirittura infettanti) e del ransomware (programmi che cifrano i dati sul PC, in modo che l’utente non li possa più leggere, e chiedono un riscatto per decodificarli, spesso spacciandosi per software che rintraccia e ripara i file danneggiati).

Sul fronte delle carte di credito, che è una delle preoccupazioni più frequenti fra gli utenti Internet, il 2009 è stato un anno turbolento non tanto per chi ha usato la propria carta online, ma per chi l’ha adoperata in Spagna, dove s’è verificata un’importante fuga di dati. La Svizzera è stata toccata solo marginalmente da quest’episodio, ma non tanto da motivare una sostituzione di massa delle carte.

Anche il popolare programma di telefonia online Skype è preso in considerazione dal rapporto di MELANI, con la trattazione del software che consente di ascoltare di nascosto le conversazioni fatte tramite Skype. L’evoluzione del phishing (furto di dati e codici d’accesso tramite messaggi-esca) indica il passaggio dalla caccia a codici per servizi finanziari al furto di codici d’accesso di servizi online di qualunque tipo, utili a commettere o preparare reati assumendo l’identità di utenti innocenti: “da questo punto di vista non sono soltanto interessanti la posta elettronica e il conto Facebook di una persona, ma piuttosto i contatti intrattenuti da una singola persona… l’obiettivo è di confezionare e-mail possibilmente su misura della vittima potenziale”. Attenzione, insomma, anche alla posta che vi arriva dagli amici: potrebbe essere opera di un impostore. E attenzione a pubblicare la rete delle vostre conoscenze.

Evitate anche di usare programmi peer-to-peer, come eMule, sui computer di lavoro: il rapporto di MELANI racconta come alcuni dipendenti del governo USA hanno installato questo software su computer sui quali avevano memorizzato anche documenti riservati, che sono finiti nel circuito di scambio, diventando pubblici.

Ci sono anche buone notizie, come gli arresti di vari criminali informatici internazionali e l’introduzione di nuove misure di sicurezza per le transazioni elettroniche con gli istituti finanziari svizzeri, che hanno indotto i membri di un forum dove si radunano i malfattori online a dire che “Non c’è formaggio gratuito in Svizzera” perché il sistema di online banking nazionale è troppo complesso da scardinare e l’utenza è limitata.

Perché tante infezioni? Colpa (anche) dei troppi programmi da aggiornare

Se non c’è, non si può rompere, recita un antico detto. Vale anche per l’informatica: ogni programma che si installa sul proprio computer è un componente in più che può avere vulnerabilità o causare problemi. È per questo che si consiglia sempre di installare soltanto il software strettamente indispensabile.

Il problema è che ogni programma che si installa sul computer è un programma che avrà periodicamente bisogno di aggiornamenti. Se si tratta di software che va su Internet (e ormai lo fanno praticamente tutti), non aggiornarlo significa esporsi ad attacchi e infezioni.  Ovvio, fin qui: ma la società di sicurezza informatica Secunia ha pubblicato un’analisi che quantifica questo problema e spiega – qui sta la novità interessante – che il numero di aggiornamenti che un utente medio dovrebbe gestire è sostanzialmente impraticabile e quindi è di per sé un fattore di insicurezza informatica.

Infatti secondo lo studio di Secunia, basato sull’ispezione di due milioni di computer, l’utente Windows medio ha sul proprio PC programmi di 22 società differenti e il 50% circa degli utenti ha installato oltre 66 programmi di oltre 22 produttori differenti, ciascuno con le sue esigenze e modalità individuali di aggiornamento. Di conseguenza, l’utente medio dovrebbe installare nel corso di un anno circa 75 aggiornamenti di sicurezza: grosso modo uno ogni cinque giorni. Uno stillicidio insostenibile per molti utenti, che quindi si ritrovano a usare in Rete programmi non aggiornati che vengono sfruttati dagli aspiranti aggressori.

Per ridurre il rischio è opportuno quindi imporsi una buona autodisciplina, installando soltanto i programmi strettamente utili e necessari ed evitando di installare software “tanto per provarlo”. Il compito di tenere aggiornata la propria eterogenea mandria di programmi può essere inoltre semplificato utilizzando lo stesso strumento adoperato da Secunia per acquisire i dati statistici citati nell’analisi, vale a dire il programma gratuito Personal Software Inspector. Questo software, disponibile anche in italiano, esamina settimanalmente i singoli programmi e componenti del sistema operativo installati nel computer dell’utente, ne guarda i numeri di versione e controlla se si tratta delle versioni più aggiornate. Se trova delle versioni vecchie, vi avvisa del problema (ma non installa nulla da solo). Naturalmente installare il Personal Software Inspector significa avere un programma in più, che a sua volta deve essere aggiornato.

Se pensate di non averne bisogno, provate a rispondere a questa domanda: siete sicuri che la versione di Flash e di Adobe Reader che avete installato è davvero la più recente?

Il lucchetto nel browser? I governi lo scavalcano allegramente. Forse non solo loro

Questo articolo vi arriva grazie alle gentili donazioni di “srevai” e “sergio”.

Da tempo immemorabile, uno dei consigli ricorrenti per gli internauti è di controllare che nella finestra del browser ci sia l’icona del lucchetto chiuso durante le transazioni via Internet che coinvolgono soldi o segreti: acquisti online, ordini per la propria banca, telefonate tramite Internet, scambio di e-mail di dissidenti in regimi non democratici, eccetera. Il lucchetto indica che la comunicazione è segreta e sicura grazie alla cifratura e ai certificati. O almeno così ci hanno detto. Ma non è vero: non sempre, perlomeno.

Infatti la scatoletta della Packet Forensics mostrata qui sopra, stando a un articolo di Wired, è in grado di vanificare l’uso della comunicazione cifrata SSL/TLS: quella che si nasconde dietro il lucchetto. In estrema sintesi, quando ci colleghiamo per esempio al sito della nostra banca, il sito deve dimostrarci di essere davvero quello che dice di essere. Per farlo manda un certificato digitale: un codice generato da un’autorità fidata. Il nostro browser controlla il certificato e, se è in ordine, ci segnala che tutto va bene chiudendo il lucchetto.

Ma le autorità fidate primarie (root certificate authorities) che generano questi certificati sono oltre un centinaio (un elenco ordinato per paese è disponibile presso Tractis.com), e per quanto siano severamente controllate, qualche pecora nera c’è sempre, come la Etisalat degli Emirati Arabi, che a luglio 2009 fu colta a infilare un programma-spia nei cellulari degli utenti, camuffato da aggiornamento. Inoltre un governo o una forza di polizia o di sicurezza nazionale può generare un proprio certificato per qualunque sito del mondo oppure obbligare una delle autorità di generazione di certificati a produrne uno fasullo. È interessante notare che nessuno dei principali browser si fida dei governi di Singapore, del Regno Unito e di Israele, per esempio, stando all’articolo Certified Lies: Detecting and Defeating Government Interception Attacks Against SSL di Christopher Soghoian e Sid Stamm.

È qui che entra in gioco la scatoletta della Packet Forensics: una società in cui persino il catalogo dei prodotti ha una sezione protetta da password. Adorabile.

A una recente fiera riservata agli specialisti di settore a Washington è stato infatti offerto un depliant che ha rivelato le potenzialità della scatoletta in questione (che somiglia molto a questa, denominata LI-5B): in particolare, “la capacità di importare una copia di qualunque chiave legittima ottenuta (eventualmente su ordine del tribunale) oppure possono generare chiavi ‘sosia’ progettate per dare al soggetto un falso senso di fiducia nella sua autenticità”. In altre parole, installando questa scatoletta presso un provider, è possibile far credere all’utente di essere connesso in modo sicuro e segreto alla propria banca o al proprio account di posta mentre in realtà tutto quello che fa viene intercettato. Il lucchetto si chiude, ma l’orecchio del Grande Fratello si apre.

All’atto pratico ci sono modi più semplici per intercettare una comunicazione online, e la scatoletta scassa-SSL ha lo svantaggio che un utente esperto si accorge della sua presenza (inoltre Soghoian sta sviluppando un’estensione per Firefox che allerta automaticamente l’utente). Questa tecnica di intromissione, un classico man in the middle chiavi in mano, è un problema principalmente per chi viaggia all’estero.

Lo scenario che viene spontaneo immaginare è infatti l’uomo d’affari che si reca in un paese straniero e da lì si collega via Internet per leggere la posta aziendale con i dettagli di un progetto o di una transazione commerciale importante. Se il suo browser non lo avvisa che il certificato di un sito è stato emesso da un’autorità diversa da quella che ha emesso il certificato originale di quel sito, rischia di essere intercettato inconsapevolmente nonostante il lucchetto sia chiuso.

Per chi non viaggia per affari, invece, è importante conoscere l’esistenza di queste forme di intercettazione, per non pensare di essere invulnerabile e quindi non commettere idiozie in Rete credendo di farla franca.

Fonti aggiuntive: The Spy in the Middle, di Matt Blaze.

Siti svizzeri infettati da semplici visite Web

MELANI, uno degli organismi federali svizzeri per la sicurezza informatica, avvisa di aver rilevato “diverse decine di casi d’infezione di siti Internet svizzeri” che stanno diffondendo il trojan BredoLab, che scarica ed esegue file scaricati da Internet.

Per infettarsi è necessario visitare uno dei siti infetti (il comunicato non dice quali sono) con Windows e con un antivirus poco aggiornato e cliccare senza pensarci su eventuali messaggi che avvisano di scaricamenti in corso. Se l’attacco ha successo, il computer dell’utente scarica BredoLab da un sito russo. I responsabili dei siti Web possono accorgersi dell’infezione perché il codice HTML della pagina indice del sito include del Javascript apparentemente senza senso in fondo alla pagina, dopo il tag “/HTML” di chiusura. I siti web vengono infettati grazie a password di accesso FTP rubate. Prudenza.