Vai al contenuto
Microsoft, patch da record

Microsoft, patch da record

34 falle da turare per gli utenti Windows

Il 13 ottobre Microsoft ha pubblicato un aggiornamento da record che risolve ben 34 vulnerabilità che riguardano Windows, Internet Explorer, Windows Media Player, Office, Silverlight, Forefront, Developer Tools, Internet Information Services, ActiveX e SQL Server. Otto di queste vulnerabilità sono classificate come critiche: una è una falla in Internet Explorer 8 sotto Windows 7.

L’aggiornamento verrà ricevuto automaticamente dalla maggior parte degli utenti, ed è importante installarlo appena possibile perché alcune delle vulnerabilità turate, per esempio quella del protocollo FTP in Internet Information Services e le quattro di Internet Explorer che richiedono solo di attirare la vittima su una pagina preconfezionata, vengono già sfruttate da alcuni criminali informatici.

Il record precedente per un singolo aggiornamento era di giugno 2009, con 31 vulnerabilità turate nell’ambito degli aggiornamenti che Microsoft da fine 2003 pubblica il secondo martedì di ogni mese.

Password rubate come se piovesse

Password rubate come se piovesse

Phishing, password rubate a decine di migliaia di utenti

L’articolo è stato aggiornato dopo la pubblicazione iniziale.

Se avete una casella di posta Hotmail, MSN, Live, Gmail o AOL, Yahoo, cambiate la password. E’ stata scoperta su Internet una serie di liste contenenti decine di migliaia di indirizzi di e-mail, principalmente europei, insieme alle password corrispondenti.

Si tratta di indirizzi di utenti di Hotmail.com, Live.com, Msn.com, Gmail, Yahoo, Comcast, AOL, Earthlink e di molti altri fornitori di caselle di posta.

La lista era stata depositata il primo ottobre su Pastebin.com, un sito usato comunemente dai programmatori per condividere le proprie soluzioni e che non è responsabile del fattaccio. Non precipitatevi a cercarla per vedere se contiene la password del vostro partner o del collega antipatico: la lista è già stata rimossa.

Le principali società di sicurezza informatica raccomandano a ogni utente di questi servizi di cambiare la propria password appena possibile e di cambiarla anche negli altri siti dove l’ha usata. Gli utenti, infatti, rischiano non solo di farsi leggere o cancellare la posta, ma anche di vedersi abusati online da malintenzionati che inviano e-mail spacciandosi per loro o usano la loro casella di posta per inviare spam. C’è di peggio: siccome circa il 40% degli utenti usa la stessa password per più di un sito o servizio, è facile che i criminali abbiano accesso ad altre loro attività in Rete.

Le password sembrano essere state rubate usando la classica tecnica del phishing: la vittima riceve una mail che sembra provenire dal servizio clienti della sua casella di e-mail e che lo invita a visitare il sito del servizio clienti stesso per una verifica dei dati, motivata dall’urgenza di risolvere un problema in realtà inesistente. La mail contiene anche un comodo link cliccabile, che però non porta al sito del servizio clienti, ma a quello dei malviventi, che è visivamente identico a quello vero. Se l’utente immette i propri codici di accesso, li regala ai criminali.

Stando a Scansafe.com, però, è possibile che questo recente elenco d’indirizzi non provenga da un phishing semplice, ma da un attacco effettuando iniettando nei computer delle vittime un keylogger che registra le password digitate e le invia ai malviventi.

Molti programmi di navigazione offrono o possono aggiungere una funzione che avvisa di questo genere di siti-trappola. Conviene attivarla oppure scaricarla e installarla: ce n’è una gratuita per esempio presso Netcraft.com. Prendete comunque l’abitudine di non fidarvi dei link che trovate nei messaggi di posta che sembrano arrivare da banche, enti, negozi o fornitori di servizi.

Va detto che questo genere di lista è abbastanza frequente in Rete: basta saper cercare nei posti giusti. Secondo The Register, inoltre, non si tratta di un evento particolarmente insolito neanche in termini di scala, tanto che una lista di 10.000 indirizzi ha un valore di mercato, per così dire, di una novantina di dollari.

Bil Gates ti paga? No, ma a qualcuno costa

Bil Gates ti paga? No, ma a qualcuno costa

Che male fa inoltrare le catene di Sant’Antonio?

Ho già parlato in varie occasioni dell’appello ormai classico secondo il quale “Bill Gates sta condividendo la sua fortuna” e finanzia un test pagando 245 euro a ogni persona che inoltra l’appello, ma mi tocca ritornare sull’argomento perché l’appello-bufala è riesploso e sta causando danni.

L’appello originale risale al 1997, ed è una delle poche catene di Sant’Antonio di cui si sa l’esatta origine: si tratta di una burla inventata nel 1997 da Bryan Mack, che all’epoca era studente nell’Iowa. Un suo collega aveva appena ricevuto uno dei soliti e-mail che promettono metodi improbabili per fare soldi in fretta, e Mack pensò che si potesse fare di meglio.

Ancora oggi quest’appello continua a circolare perché c’è sempre qualcuno che ci crede oppure si ferma alla classica idea che nel dubbio inoltrare non costa nulla. Torno a parlare di questa storia perché proprio in questi giorni c’è una chiara dimostrazione del fatto che invece disseminare questo genere di appelli costa eccome.

La versione più recente, infatti, include le coordinate di una persona che sembra autenticare l’appello: si tratterebbe di un agente finanziario di una banca molto nota (che non cito qui perché non ho ancora il suo permesso formale) e che quindi a molti può dare l’impressione di garantire autorevolmente l’appello.

Ho contattato i numeri telefonici di rete fissa indicati, che hanno un prefisso 089 corrispondente alla zona di Salerno, e mi ha risposto in malo modo una signora dicendo che quei numeri sono sbagliati e non si riferiscono a nessun agente finanziario.

L’indirizzo di e-mail del garante apparente è invece valido e ne ho ricevuto questa risposta: “questa e.mail non è stata mai generata, ne diffusa, mai scritta ne da me ne dalla banca, ma qualcuno ha inserito i miei dati facedndola circolare violando la privacy nel web.”

L’agente finanziario, insomma, non è affatto un garante dell’appello. Anzi, dice la risposta, è stata fatta denuncia alla Polizia Postale per esonerare da ogni responsabilità sia la persona coinvolta, sia la banca che rappresenta. Cosa peggiore, “Questa mail sta facendo impazzire il mio cell. e la mia posta”, mi scrive la vittima.

E’ questo il prezzo dell’inoltro indiscriminato: chiunque può includere le coordinate di una persona alla quale vuole fare un brutto tiro e tormentarla inducendo centinaia di persone a telefonarle o a mandarle mail. In questo caso specifico, oltretutto, c’è il rischio serio di un danno d’immagine professionale, perché probabilmente la prima reazione di chi legge l’appello e sa che è una bufala è pensare che se l’agente finanziario c’è cascato, probabilmente non è un agente finanziario molto sveglio.

Quindi prima di inoltrare questi appelli, controllateli: usate i servizi antibufala della Rete e comunque di solito basta digitare in Google le parole chiave. Se non avete tempo di controllare, cestinateli. Tanto la statistica è dalla vostra parte, perché gli appelli che girano in Rete sono quasi tutti fasulli.

Yahoo Mail fallato, ecco come i vandali trovano le password

Yahoo Mail fallato, ecco come i vandali trovano le password

Come si ruba una password? Lo insegna suo malgrado Yahoo Mail

Tentare di indovinare la password di un sito o di un utente di un sito per forza bruta, a furia di tentativi, sembra impossibile, anche perché i siti che usano password pongono un limite molto ristretto al numero di tentativi e per ogni tentativo propongono un captcha: una di quelle parole deformate che solo un essere umano riesce a decifrare e che servono per verificare che davanti al computer ci sia davvero una persona e non un programma automatico.

Ma c’è una falla in Yahoo che è aperta da due anni e scavalca tutti questi sistemi di sicurezza, secondo The Register e il consulente di sicurezza Ryan Barnett della Breach Security. Gli aspiranti intrusi possono fare tutti i tentativi che vogliono, senza essere bloccati e senza trovarsi captcha. Come se non bastasse, se si immette un nome utente esistente ma una password sbagliata, la falla risponde informando che il nome utente è valido, ma la password no: in questo modo si può sapere se un determinato nome utente esiste o meno, e poi si tratta soltanto di provare per forza bruta, usando le password più frequentemente utilizzate. Se il tentativo fallisce, si passa a un altro utente, e così via, fino a sfondare le difese.

Secondo The Register, anche altri siti sono a rischio per via di queste applicazioni non sicure, pensate per consentire ai clienti dei partner commerciali di Yahoo di controllare la propria posta senza abbandonare il sito del partner in questione. Il problema è che l’applicazione risponde alle richieste di verifica senza controllare se provengono da un server autorizzato o no. Chiunque può sfruttare quest’applicazione se sa come trovarla (e anche questo non è difficile).

Se l’intrusione ha successo, l’utenza diventa un trasmettitore di spam e spesso viene usata come testa di ponte per raggiungere password ancora più personali, come quelle della gestione dei conti bancari.

La tecnica di difesa migliore è usare password robuste, che non siano parole di senso compiuto o nomi o numeri riferibili in qualche modo alla propria identità: conviene creare le password per esempio usando le iniziali di una filastrocca o di una poesia. Per esempio, “quarantaquattro gatti in fila per sei col resto di due” produce la password “44gifx6crd2”, che è piuttosto robusta ma al tempo stesso facile da ricordare.

Pirati offrono di entrare in un profilo di Facebook su commissione

Pirati offrono di entrare in un profilo di Facebook su commissione

Cento dollari per una password di Facebook altrui

“Hack Facebook online”: un sito (http://www.hacking-facebook.com, schermata qui accanto) che sembra essere gestito da esperti informatici dell’Ucraìna e promette, in cambio di cento dollari pagabili tramite Western Union, di entrare in qualunque profilo di Facebook, leggerne il contenuto e prenderne eventualmente il controllo.

Un servizio che fa gola a tanti ficcanaso e vandali della Rete, ma che secondo la società di sicurezza Panda Security è in realtà una truffa ben congegnata.

Il sito infatti offre una dimostrazione gratuita che gli conferisce apparente credibilità: dando l’identificativo numerico di un utente di Facebook, il sito restituisce il suo nome. Ma in realtà questo è un dato che non richiede alcuna intrusione per essere acquisito. Poi il sito sembra effettuare una complicata analisi per alcuni minuti e dice di aver ottenuto la password dell’utente-bersaglio.

Ma se la vogliamo conoscere, dobbiamo pagare. E farlo tramite Western Union, che è una forma di pagamento difficilmente tracciabile e senza alcuna possibilità di restituzione: una volta mandati, i soldi sono mandati.

Nessuno contesterà se il sito non offre quanto promesso, perché rivolgersi alla polizia dicendo “Ho chiesto loro di rubare la password alla mia fidanzata e loro invece si sono tenuti i soldi” non è un buon modo di cominciare la giornata.

L’indizio rivelatore, secondo la società di sicurezza che ha indagato sul caso, è che il sito Hacking Facebook dice di essere in attività da oltre quattro anni, ma il nome di dominio è stato registrato da qualcuno che sta a Mosca solo pochi giorni fa. Al momento in cui scrivo, il sito è quasi inaccessibile e non è da escludere che traslocherà presto altrove per fare nuove vittime.

OS X Snow Leopard disaggiorna Flash, riapre falle

OS X Snow Leopard disaggiorna Flash, riapre falle

Ve l’avevo detto, che era meglio aspettare: Snow Leopard riapre falle in Flash

La nuova versione di Mac OS X, Snow Leopard, ha un problemino: installa una versione di Flash vecchia che ha varie falle di sicurezza.

La versione installata da Snow Leopard è la 10.0.23.1, mentre quella corrente è la 10.0.32.18. Lo segnala la Adobe, proprietaria del software Flash, usatissimo dai siti Internet (è quello che permette per esempio ai video di Youtube di funzionare).

La società di sicurezza Sophos ha creato un video che mostra i dettagli del problema. In particolare, va notato che il downgrade viene effettuato senza alcun avviso all’utente e avviene anche se l’utente ha installato una versione più recente.

Le versioni meno recenti di Flash hanno una serie di falle che sono state prese di mira dai vandali e dagli aggressori online per penetrare nei computer altrui.

Sophos nota che è comprensibile che Apple abbia distribuito Snow Leopard usando l’ultima versione di Flash disponibile al momento di chiudere il prodotto, ma non è comprensibile che Apple non abbia pensato di far fare una verifica al programma d’installazione prima di sovrascrivere una versione di Flash più recente.

Conviene quindi precipitarsi subito da Adobe per verificare quale versione di Flash avete e, se necessario, scaricare l’aggiornamento che tura le falle. Installatelo seguendo le istruzioni: sarà necessario riavviare i browser che usate.

Iphone nuovo? Meglio aspettare

Iphone nuovo? Meglio aspettare

L’iPhone nuovo è roba che scotta. Sul serio. E anche quello vecchio è crashabile con un SMS

Sembra che ci sia qualche problema con i nuovi iPhone, i 3GS, e anche con quelli vecchi dotati del software nuovo (3.0). Varie fonti segnalano infatti surriscaldamenti così marcati da non poter tenere in mano il telefonino e da alterare il colore della plastica del suo guscio (foto) e anche del display, dando alla plastica una tinta rosata e al display una colorazione giallognola.

I principali colpevoli sarebbero la trasmissione dati e il modulo GPS integrato, ma alla base potrebbe esserci una partita di batterie imperfette. Nessun problema: basta aprire lo sportellino e cambiare batteria, no? Un lavoretto da tre secondi. Soltanto che l’iPhone non ha lo sportellino: la batteria è sigillata, e per cambiarla bisogna lasciare il cellulare in assistenza. Bella furbata.

Le lamentele sono pubblicate per esempio nel forum Apple Discussions e nei forum degli utenti britannici dell’operatore O2.

Punto Informatico segnala che sul sito di supporto di Apple è apparsa una pagina che ricorda di usare l’iPhone solo se la temperatura dell’ambiente è fra 0° e 35°C e di custodirlo a temperature fra -20° e 45°C. Lasciarlo in un’auto parcheggiata al sole o usarlo intensamente mentre gli batte sopra direttamente il sole rischia di fargli superare questi limiti di temperatura. In caso di surriscaldamento compare l’avviso mostrato qui sopra. Tenerlo in tasca, vicino al proprio corpo caldo, o in una borsa priva di ricambio d’aria non aiuta certo ad evitare il problema.

Come se non bastasse, arriva la segnalazione di un problema di sicurezza basilare valido per tutti gli iPhone: il ricercatore di sicurezza Charlie Miller, della Independent Security Evaluators, ha dimostrato alla conferenza SyScan di Singapore che c’è un baco nel modo in cui l’iPhone interpreta gli SMS che permette di mandare in crash una parte del telefono che gestisce la connessione alla rete cellulare, rendendolo temporanemente inutilizzabile: basta conoscere il numero di telefonino della vittima designata. Brrr.

Fonti: The Inquirer, Wired, The Register, The Register, The Telegraph, Slashdot, Punto Informatico, F-Secure

Il costo ecologico dello spam

Lo spam intasa Internet e inquina il mondo reale

L’articolo è stato aggiornato dopo la pubblicazione iniziale.

Il recente rapporto Carbon Footprint for Email Spam della società di sicurezza McAfee e della società di consulenza ambientale ICF International ha calcolato il costo energetico e ambientale della pubblicità spazzatura che intasa Internet: i 62 trilioni di messaggi inviati ogni anno nel mondo fanno sprecare 33 miliardi di kilowattora l’anno, sufficienti ad alimentare quasi due milioni e mezzo di abitazioni, o equivalenti a 17 milioni di tonnellate di CO2.

L’80% dello spreco energetico deriva dalle attività connesse alla ricerca delle mail desiderate e alla cancellazione dei messaggi spazzatura: il computer consuma più energia perché deve eseguire antivirus, antispam e compagnia bella. Secondo ICF, un filtraggio dello spam che riducesse del 75% queste mail indesiderate equivarrebbe, in termini ecologici, a togliere dalla circolazione 2,3 milioni di automobili.

La cosa curiosa è che lottare contro lo spam non significa affrontare un nemico tentacolare. I provider che ospitano gli spammer sono pochi e piuttosto ben conosciuti, e non operano in oscure lande senza legge, ma quasi sempre negli Stati Uniti, come dimostra il caso della McColo, società di hosting americana che quando fu scollegata da Internet causò un crollo del 70% del traffico mondiale di spam.

2009/04/18

Nei commenti alla prima stesura di quest’articolo sono arrivati alcuni dubbi sui conti presentati dal rapporto di McAfee (che consiglio di scaricare e leggere integralmente in inglese o in versione breve italiana).

La versione italiana parla esplicitamente di “trilione” nel tradurre l’inglese “trillion” (“Nel 2008 è stato inviato un totale mondiale stimato di 62 trilioni di email spam”). Il problema è mettersi d’accordo sul significato di “trilione” e “trillion”.

Garzanti Linguistica dice che “trilione” è un “numero cardinale equivalente a un milione di bilioni; in Francia e negli Stati Uniti equivale a mille bilioni.” La stessa fonte definisce “bilione” come “numero cardinale che equivale a mille miliardi; negli Stati Uniti e in Francia equivale a mille milioni, cioè un miliardo.”

Nell’inglese corrente, sia in USA sia nel Regno Unito, “trillion” indica 1 seguito da 12 zeri, ossia 1012, vale a dire mille miliardi. Ma in passato non era così. Fino a una trentina d’anni fa, infatti, inglese USA e inglese britannico differivano sul significato di questo termine.

In inglese USA, “trillion” valeva e vale tuttora 1012; ma in inglese britannico “trillion” valeva 1 seguito da 18 zeri, cioè 1018, ossia un miliardo di miliardi. L’accezione britannica è oggi sempre meno frequente ed è caduta ufficialmente in disgrazia anche nel Regno Unito intorno agli anni Settanta. Le fonti citate da Wikipedia alla voce “short scale” sono molto chiare in proposito, e la mia esperienza di traduttore tecnico madrelingua inglese lo conferma.

In altre parole, un gran casino.

Il rapporto McAfee non usa la notazione esponenziale, che chiarirebbe il significato esatto del termine “trillion” originale, ma usa “billion” per indicare 109 (infatti scrive “Globally, annual spam energy use totals 33 billion kilowatt-hours (kWh), or 33 terawatt hours (TWh)”), ossia secondo l’accezione USA e quella moderna britannica. Sembra logico dedurre che usi quindi anche “trillion” nella stessa maniera, per cui i messaggi di spam inviati sarebbero 62 x 1012.

In quanto al calcolo del danno ambientale di ogni singolo spam, il rapporto dice: “the total average GHG emissions associated with spam are 0.3 grams of CO2-equivalent (CO2-e) per message… ICF calculated the footprint of spam over the course of a year and estimated spam-related emissions at approximately 17 million metric tons of CO2-e annually, or 0.2 percent of total global CO2 emissions. This annual global spam footprint is equivalent to emissions from 2 billion gallons of gasoline, the amount used annually by three million passenger vehicles, or 1.5 million U.S. homes. The energy required annually to create, send, receive, store and view spam adds up to over 33 billion kWh, equivalent to almost four gigawatts of baseload power generation or four large new coal power plants. For equivalency calculations, refer to EPA (2008).”

Il rapporto cita inoltre in dettaglio le fonti e i metodi di calcolo adottati, per cui prima di fare altri conti e ragionamenti è opportuno leggerlo e conoscerne le metodologie.

Microsoft aggiorna Firefox di nascosto, patch pronta

Microsoft aggiorna Firefox di nascosto, patch pronta

Microsoft installa plug-in per Firefox senza chiedere il permesso; pronta la correzione

L’articolo è stato aggiornato dopo la pubblicazione iniziale.

C’è stata una discreta sollevazione degli utenti Windows di Firefox quando è emersa la notizia che l’aggiornamento .Net Framework 3.5 Service Pack 1, installato da Windows Update e risalente a febbraio, installa anche un’estensione per Firefox senza avvisare l’utente.

Secondo Annoyances.org, sito dedicato alla pubblicazione delle magagne di Windows, quest’estensione (chiamata Microsoft .NET Framework Assistant) consente alle applicazioni .NET di installarsi con una singola cliccata, dando in sostanza “ai siti Web il potere di installare software sul vostro PC facilmente e silenziosamente”.

Questa potenziale vulnerabilità non è stata ancora sfruttata con intenti ostili, ma è una questione di principio. L’irritazione degli utenti è stata aumentata dal fatto che la disinstallazione dell’estensione di Microsoft era inizialmente molto più difficile rispetto a quella delle altre estensioni (era necessario editare a mano il Registro).

Microsoft ha ora aggiornato l’estensione per renderla leggermente meno ostica. Se volete semplicemente disattivarla, andate in Firefox, scegliete Strumenti – Componenti aggiuntivi, localizzate Microsoft .NET Framework Assistant e cliccate su Disattiva. Infine riavviate Firefox per rendere attiva la modifica.

Se invece volete rimuoverla, la mia prova pratica indica che dovete eseguire i seguenti passi:

  1. scaricare l’aggiornamento realizzato da Microsoft;
  2. assicurarvi che l’estensione sia attivata in Firefox;
  3. riavviare Firefox;
  4. eseguire l’aggiornamento appena scaricato;
  5. accettarne le condizioni di licenza;
  6. attendere che finisca l’esecuzione dell’aggiornamento;
  7. riavviare Windows;
  8. riavviare Firefox;
  9. andare di nuovo in Strumenti – Componenti aggiuntivi e selezionare Microsoft .NET Framework Assistant, dove troverete che la versione indicata è ora la 0.0.0;
  10. riavviare Firefox;
  11. andare per l’ennesima volta in Strumenti – Componenti aggiuntivi, selezionare Microsoft .NET Framework Assistant e cliccare su Disinstalla;
  12. riavviare ancora una volta Firefox.

Il tutto richiede soltanto una ventina di minuti del vostro tempo, che naturalmente non vale nulla.

Altri utenti segnalano nei commenti di aver potuto eseguire un numero minore di passi, ma il concetto di fondo non cambia: l’aggiornamento introduceva una vulnerabilità significativa e installava un’estensione senza informare l’utente.

E poi la gente mi chiede come mai spendo tanti soldi in più per evitare di usare Windows e il software Microsoft in generale.

Fonti: Washington Post, The Register.

Windows 7 pirata infetta utenti, megapatch per Apple

Windows 7 pirata infetta utenti, megapatch per Apple

Non piratate Windows 7: è disponibile legalmente. E se preferite la Mela, aggiornate Mac OS X

L’articolo è stato aggiornato dopo la pubblicazione iniziale.

Due segnalazioni veloci dai due principali sistemi operativi: la prima riguarda Windows 7, il successore di Windows Vista. Le copie pirata circolanti in Rete sono spesso infette. Eweek, Zdnet e il Washington Post segnalano che una di queste copie infette agisce come un cavallo di Troia ed è riuscita ad infettare oltre 27.000 utenti.

L’infezione avanza al ritmo di circa 1500 nuove vittime al giorno, ma la società di sicurezza informatica Damballa è riuscita a prendere il controllo del sito Internet dal quale le copie infette prendevano ordini a insaputa degli utenti, convinti di essere stati particolarmente furbi. In realtà sono stati particolarmente gonzi, perché la Release Candidate di Windows 7 è scaricabile legalmente gratis dal sito ufficiale di Microsoft (dettagli qui; link diretto all’Evaluation Center italiano, grazie a Renato per la dritta).

La seconda segnalazione tocca gli utenti Apple: è uscita una mega-patch che porta il sistema operativo Mac OS X Leopard alla versione 10.5.7, rattoppando ben 67 falle di sicurezza, tre delle quali riguardano Safari, il browser predefinito del mondo Mac. L’elenco completo delle vulnerabilità corrette è sul sito di Apple in inglese e anche in italiano. E’ interessante notare che stando agli indizi presenti nella pagina di dettaglio di Apple, l’aggiornamento per Mac correggerebbe anche la segretissima falla che a marzo ha permesso a un utente noto solo come “Nils” di vincere con poca fatica un laptop Vaio e un premio in denaro alla gara di sicurezza CanSecWest, come raccontato qui.