Vai al contenuto

webcam

Un’altra telecamera Internet vulnerabile: MiSafes Mi-Cam

Un’altra telecamera Internet vulnerabile: MiSafes Mi-Cam

Le telecamerine di sorveglianza IP, quelle che si collegano tramite Wi-Fi e si usano per tenere d’occhio bambini, animali o ambienti domestici e di lavoro, si rivelano ancora una volta dei colabrodo di sicurezza. Chi ha una Mi-Cam di MiSafes, per esempio, in vendita in negozi online come Amazon, si espone al rischio che chiunque gli possa guardare in casa, ascoltare le conversazioni e addirittura mettersi a parlare con chi è in casa. Se l’idea che uno sconosciuto parli al vostro bambino nella sua cameretta non vi entusiasma, staccate questa telecamera.

Secondo la società austriaca di sicurezza informatica SEC Consult, infatti, le telecamerine Mi-Cam di MiSafes (e tutte quelle analoghe con altri marchi) hanno una serie di difetti gravissimi di progettazione. Hanno, per esempio, una password di amministrazione predefinita di quattro cifre. Cosa ancora più grave, sono interrogabili via Internet semplicemente modificando una singola richiesta HTTP (in pratica basta cambiare i parametri del link di collegamento).

Questo significa che uno sconosciuto, usando soltanto una normale connessione a Internet, può guardare, ascoltare e persino parlare attraverso queste telecamere.

La cosa peggiore, però, è che il fabbricante non solo non rilascia aggiornamenti correttivi, ma non risponde neanche alle segnalazioni di vulnerabilità dei suoi prodotti. L’unica cosa che può fare chi ha comprato questa telecamera è buttarla via oppure usarla sapendo che le immagini e l’audio sono pubblici.

Fonti aggiuntive: Naked Security.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Spiava le persone attraverso le webcam dei Mac: bloccato e incriminato

Spiava le persone attraverso le webcam dei Mac: bloccato e incriminato

Credit: Patrick Wardle.

Phillip Durachinsky, un ventottenne residente in Ohio, è stato incriminato come autore di un malware per Mac che ha usato per oltre un decennio per spiare migliaia di vittime. Ha iniziato a farlo quando aveva quattordici anni.

Il malware, denominato Fruitfly, gli consentiva di prendere il controllo dei computer Apple che infettava, registrando dalla webcam e dal microfono, guardando cosa c’era sullo schermo, comandando mouse e tastiera e scaricando file. Ne avevo parlato a luglio del 2017, quando i dettagli del caso erano ancora riservati.

Durachinsky, secondo l’atto di incriminazione, ha usato questo suo malware per infettare e spiare migliaia di computer, rubando dati personali, informazioni bancarie, password e informazioni intime delle vittime, compresi moltissimi bambini: gli atti parlano di “milioni di immagini”. Per questo è accusato anche di produzione di pedopornografia.

Fra l’altro, Durachinsky aveva programmato Fruitfly in modo da mandargli un avviso se una delle vittime infettate digitava parole associate alla pornografia. Il suo intento, insomma, era molto chiaro.

Le intrusioni di Durachinsky sono andate avanti indisturbate per più di dieci anni: Fruitfly è stato scoperto soltanto l’anno scorso dalla società di sicurezza Malwarebytes. All’epoca Apple aveva rilasciato un aggiornamento di sicurezza per bloccare Fruitfly, ma nessuno sapeva chi fosse il suo mandante o creatore. Gli utenti che avevano aggiornato i propri Mac erano al sicuro, ma chi non si era aggiornato ed era infetto con Fruitfly continuava ad essere spiato.

Nei mesi successivi Patrick Wardle, ex dipendente NSA che oggi lavora per la Digita Security e offre strumenti di sicurezza gratuiti per Mac, ha analizzato il malware e ha scoperto come prenderne il controllo (ha trovato i nomi di dominio di riserva usati da Fruitly per comunicare con il suo padrone in caso di emergenza e li ha registrati a proprio nome, ricevendo così i dati inviati dal malware).

Wardle è riuscito a intercettare le comunicazioni fra i Mac infettati e il gestore del malware, scoprendo chi erano le vittime, e ha avvisato l’FBI, mostrando agli agenti i dettagli tecnici delle proprie scoperte. Le indagini hanno poi portato all’identificazione e all’incriminazione di Durachinsky.

Il problema è ora risolto: Fruitfly è stato disattivato e il suo autore non è più in grado di nuocere. Ma il ricercatore di sicurezza che ha snidato Durachinsky non ha parole tenere per Apple, che a suo dire era “concentrata anche sulla prospettiva di un’attenzione mediatica negativa”, rivelando “un esempio sorprendente di quali siano le priorità di Apple… Non è colpa di Apple se questo malware è entrato in tutti questi Mac… è imperativo che gli utenti Mac comuni siano consapevoli che esistono questi hacker malati e perversi che prendono di mira le loro famiglie, ma abbiamo Apple che spinge continuamente questa propaganda di marketing che dice che i Mac sono incredibilmente sicuri. Ma l’effetto collaterale è che gli utenti Mac diventano ingenui o eccessivamente fiduciosi”.

Morale della storia: i “virus” per Mac esistono e chiunque può esserne bersaglio. Meglio non credere troppo alle parole del marketing e attrezzarsi con un po’ di sana diffidenza e con un buon antivirus. Anche su Mac.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Come vedere la Stazione Spaziale a occhio nudo e seguire Paolo Nespoli online

Come vedere la Stazione Spaziale a occhio nudo e seguire Paolo Nespoli online

In occasione della partenza dell’astronauta Paolo Nespoli per la Stazione Spaziale Internazionale, prevista per le 17:41 di oggi con arrivo alle 23:15 (diretta su RaiNews24 e streaming su NASA TV), segnalo alcuni siti utili per avvistare la Stazione a occhio nudo (non occorre un telescopio) e per seguire Paolo nella sua missione.

Paolo è su Twitter come @astro_paolo, su Facebook come ESAPaoloNespoli e su Instagram come astro_paolo; tutte le informazioni sulla sua missione e il suo addestramento sono presso paolonespoli.esa.int.

Se volete vedere la Stazione, consiglio le app ISS Spotter e ISS Locator (iOS) oppure ISS Detector e ISSonLive (Android). Se preferite un sito, consiglio ISS Tracker oppure Spot the Station della NASA (quest’ultima app richiede un’iscrizione gratuita per ricevere le notifiche).

Se invece volete vedere il mondo dalla Stazione in tempo reale in HD, come lo vedono gli astronauti, allora andate a Ustream sul canale ISS HD Earth Viewing Experiment. Ci sono anche le webcam di bordo, non sempre attive, presso il canale Ustream Live ISS Stream. Ustream è disponibile anche come app Android e iOS.

E se tutto questo non basta, date un’occhiata a questo mio elenco di risorse spaziali. Buona visione.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Arrestato e condannato guardone digitale: spiava attraverso le webcam dei PC

Arrestato e condannato guardone digitale: spiava attraverso le webcam dei PC

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2015/10/09 20:50.

Si sa che i guardoni digitali, quelli che spiano le proprie vittime usando le webcam dei loro computer, esistono: ma sono un’idea troppo spesso astratta, che fa venir voglia di pensare “tanto a me non capiterà”. Un po’ di concretezza arriva dal Regno Unito, con la notizia della condanna di uno di questi guardoni, un trentatreenne di Leeds, che usava il malware denominato Blackshades per infettare i computer (specificamente PC Windows) delle vittime e attivarne le webcam di nascosto.

L’uomo era stato arrestato a novembre del 2014 nell’ambito di una retata internazionale di utenti di Blackshades condotta insieme all’FBI. Sui suoi computer sono state trovate immagini di persone “impegnate in attività sessuali su Skype o davanti ai propri computer”, spiega il comunicato della National Criminal Agency britannica. Il guardone ha ammesso di aver usato Blackshades per monitorare le webcam altrui e i loro schermi, carpendone password e contenuto delle mail, e di aver trascorso da cinque a dodici ore al giorno in quest’attività ossessiva, durata circa tre anni, spiando non solo sconosciuti ma anche donne che conosceva personalmente.

L’uomo è stato condannato a 40 settimane di carcere (che sono state sospese e non sconterà se non commette altri reati), verrà iscritto per sette anni nel registro dei colpevoli di reati sessuali e dovrà svolgere 200 ore di lavoro sociale non retribuito; tutti i suoi computer sono stati sequestrati. La sentenza definitiva è stata emessa mercoledì scorso.

Difendersi da questi molestatori non è difficile: spesso basta un buon antivirus aggiornato che controlli tutto quello che viene scaricato, abbinato all’abitudine di non scaricare e installare applicazioni provenienti da chissà chi e soprattutto a un coperchio per la webcam, che la copra quando non è in uso. Passi semplici, che però si è poco motivati a fare. Magari mostrare la faccia di questi guardoni, come ha fatto la National Criminal Agency, è un buon incentivo a darsi da fare per non farsi fregare.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Insecam, il sito delle webcam insicure

Insecam, il sito delle webcam insicure

Si sta facendo un gran parlare di Insecam, un sito che visualizza e geolocalizza le telecamere IP di sorveglianza i cui proprietari non hanno cambiato la password predefinita, in barba a tutte le buone norme di sicurezza, col risultato che chiunque può vederne le immagini.

Le telecamere proposte da Insecam sono decine di migliaia, sparse per il mondo: in Svizzera ce ne sono in questo momento 188, in Italia 2588. Non sono state “hackerate” in alcun modo, perché per trovarle e vederne il contenuto è sufficiente una ricerca in Google, come spiegato nelle FAQ di Insecam. Per togliere la propria webcam dall’elenco è sufficiente fare quello che raccomanda il manuale della telecamera, ossia smettere di usare la password predefinita, che è nota a chiunque sia interessato all’argomento.

Lo scopo di Insecam è sensibilizzare gli utenti al concetto che il manuale non è un inutile spreco di tempo e le norme di sicurezza non sono una scocciatura per pedanti: servono per evitare figuracce come quelle proposte da queste webcam. Purtroppo molti pensano ancora di potersi perdere nel mare di Internet e non sanno che esistono servizi di ricerca e localizzazione come Shodan. Foscam, una delle marche di webcam citate da Insecam, ora obbliga gli utenti a cambiare password durante l’installazione.

C’è chi ha criticato Insecam perché guadagna sul voyeurismo degli internauti, ma va notata una cosa: invece di pubblicare il flusso diretto delle singole webcam, che permetterebbe di risalire al loro indirizzo IP e quindi di identificare con precisione dove sono installate, Insecam pubblica una copia (l’HTML dell’immagine è del tipo src=”http://img6.insecam.com:8080/96388/0/nocache/”), sostenendo quindi dei costi di gestione più alti.

Pertanto la geolocalizzazione (per esempio “Lugano”, anche qui) presentata da Insecam è in realtà solo approssimativa e non verificata.

Funziona questa sensibilizzazione forzata? Pare di sì. Rispetto a ieri, per esempio, le webcam italiane visibili sono trecento in meno; quelle svizzere sono una quarantina in meno.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

Anche le webcam dei Mac si possono attivare senza accenderne la spia

Ne parlerò in dettaglio nella puntata di domani del Disinformatico radiofonico sulla Rete Tre della Radio Svizzera, ma mi sembra opportuno allertare subito che è stata resa pubblica una dimostrazione della possibilità di disabilitare la spia delle webcam anche nei Macbook, macchine che si pensava fossero intrinsecamente immuni (per via del modo in cui sono costruite) da questo genere di trappola. Ne parlano il Washington Post e c’è un paper tecnico. Il software di difesa è qui.

Il test si riferisce a Macbook del 2007 e 2008, quindi non recenti; non è chiaro se ci sia la stessa vulnerabilità anche nei modelli attuali. Ma il paper nota che “Apple’s most recent FaceTime cameras in its 2013 MacBook Air model eschews USB 2.0. Instead, the camera is connected to the host computer over PCIe [33]. Vulnerabilities in the camera would potentially enable an attacker to have DMA access to the host system. This is a significantly stronger capability than USB access.”

Ho già da tempo un pezzo di nastro adesivo sopra la mia webcam.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Le cose che non colsi - 2013/04/07

Le cose che non colsi – 2013/04/07

Questo articolo vi arriva grazie alla gentile donazione di “stuper” e “dlevi.m*” ed è stato aggiornato dopo la pubblicazione iniziale.

Torna, dopo una lunga pausa, la serie di post Le cose che non colsi: tutte le meraviglie che trovo in Rete e che non ho il tempo, purtroppo, di raccontare in dettaglio. Piuttosto che lasciarle andare, ve le segnalo almeno brevemente.

Nello spazio non si russa, si dorme benissimo, e si usano sia biro, sia matite. Cura definitiva per il russamento? Dormire in assenza di peso, come fa Chris Hadfield sulla Stazione Spaziale Internazionale, dove contrariamente a una popolare leggenda metropolitana si usano sia biro, sia matite: specificamente portamine, Space Pen (biro con refill pressurizzato) e pennarelli inodori, oltre che stampanti ed etichettatrici. Lo ha detto lui su Twitter.

Il volo della capsula Dragon salvato per un pelo. Un microscopico errore di fabbricazione di una valvola stava per condannare al fallimento il secondo lancio del veicolo di rifornimento privato della ISS fabbricato da SpaceX. Software scritto in tempo reale, upload usando stazioni di trasmissione militari e altre cose da paura (Universe Today).

La NASA va a caccia di asteroidi per portarne uno a casa (forse). C’è un progetto NASA per andare a prendere un asteroide da 500 tonnellate e parcheggiarlo vicino alla Luna per studiarlo meglio, anche con equipaggi. Data prevista: 2019 (Associated Press). Ne parla in italiano Astronautinews.

Ma quanto è lontano Marte? Supponiamo che la Terra sia larga 100 pixel: a questa scala, quanto sarebbe lontano il pianeta rosso dove sta lavorando una squadra di nostri robot? Lo mostra graficamente, in maniera splendida, Distancetomars.com. Lo spazio è grande.

Time-lapse poetico dalla Stazione Spaziale. Non è il primo, lo so, ma la potenza delle immagini del nostro pianeta che arrivano dall’avamposto orbitante è sempre un incanto e non stanca mai.

Tappate la webcam; lo fanno anche gli esperti. C’è chi trova ridicolo ed eccessivamente paranoico mettere un pezzetto di nastro adesivo davanti alla webcam; ma esiste un circuito di guardoni digitali, i ratter, che spiano la gente attraverso queste telecamere. Ne ho parlato in una puntata recente del Disinformatico radiofonico. E si può disabilitare la luce-spia della webcam in alcuni modelli. Salta fuori che anche molti esperti di sicurezza, da Martin Muensch (FinFisher/FinSpy) a Mikko Hypponen (F-Secure) hanno, più o meno discretamente, tappato le proprie webcam (Sydney Morning Herald).

Sindone: le datazioni “alternative” di Giulio Fanti. Porta a porta e Voyager hanno presentato acriticamente le “scoperte” di Giulio Fanti che, guarda caso, dicono che la Sindone risalirebbe all’era di Cristo e non sarebbe quindi un falso medievale (come documentano invece tutte le altre indagini serie). Leggete questo articolo di Gian Marco Rinaldi per conoscere i metodi ben poco rigorosi di Fanti e la reazione della Chiesa a questa datazione. Spoiler: non è quella che immaginate (Queryonline).

Foto di ragazza che parla al cellulare nel 1938? Sabrina Pieragostini, nella sezione “scientifica” (sic) di Panorama, riprende un articolo del Daily Mail e ipotizza che un video del 1938 mostri una viaggiatrice nel tempo. Perché se vedi una ragazza che tiene qualcosa in mano vicino alla faccia in un filmato d’epoca, dev’essere per forza un cellulare e quindi lei dev’essere una crononauta. Non fa una grinza. A Panorama, quando sentono rumore di zoccoli, pensano subito che stia passando un unicorno. Aggiornamento (2013/04/10): Query fa le pulci alle varie ipotesi.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

Disinformatico radio 2013-03-15, podcast pronto

È disponibile il podcast della puntata di ieri del Disinformatico radiofonico. Ecco i temi e i rispettivi articoli d’accompagnamento:

Aggiungo, sul tema dei nomi infelici di prodotti, il mitico VINCULO, da leggere naturalmente con l’accento sulla I e non sulla U. Grazie a @latente_flickr per la segnalazione.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Manichini bionici e altre storie nel podcast di venerdì

Manichini bionici e altre storie nel podcast di venerdì

Nella puntata del Disinformatico radiofonico di venerdì scorso, scaricabile come podcast qui, ho parlato dello skeuomorfismo, della primissima webcam nata per sorvegliare una brocca di caffè, delle licenze di Windows 8 regalate per errore da Microsoft, dei negozi che offrono autoritratti solidi grazie alle stampanti 3D e dei manichini bionici che sorvegliano e analizzano i clienti.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Falla Flash che accende webcam di nascosto: risolta

Falla Flash che accende webcam di nascosto: risolta

Che ci faccio col clickjacking? Accendo le webcam altrui e spio

Il clickjacking è una tecnica che consente di intercettare una cliccata di un utente e dirottarla altrove. Viene usata spesso su Facebook per esempio per far rispondere inavvertitamente gli utenti a un sondaggio sul quale gli organizzatori del clickjacking percepiscono una commissione per ogni sondaggio compilato. L’utente crede di cliccare su un pulsante per vedere un video, partecipare a un giochino o fare qualcos’altro di allettante, ma il suo clic in realtà viene usato per selezionare le risposte del sondaggio, che si trovano in un iframe invisibile.

È l’equivalente informatico di quando si fa firmare un foglio innocuo a qualcuno mettendo però sotto la carta carbone che copia la firma su un documento compromettente. Il termine clickjacking è stato coniato nel 2008 da Hansen e Grossman in questo articolo.

Pochi giorni fa lo studente d’informatica Feross Aboukhadijeh ha creato una demo di clickjacking che non si limitava a rubare il clic per usarlo in un sondaggio, ma accendeva webcam e microfono della vittima senza che a video comparissero avvisi.

Questo effetto era possibile, spiega Feross, perché i clic venivano trasferiti alla pagina delle impostazioni di Flash sul sito di Adobe, attraverso la quale si possono definire i siti autorizzati ad accedere via Flash a webcam e microfono. Lo studente aveva segnalato ad Adobe la vulnerabilità di questa pagina delle impostazioni tempo addietro, ma Adobe ha corretto il problema soltanto dopo che Feross l’ha reso pubblico.

Va chiarito che nonostante le apparenze (e almeno un paio di articoli d’allarme), le impostazioni degli utenti non sono custodite presso il sito di Adobe ma risiedono sul computer di ciascun utente. La pagina delle impostazioni non fa altro che visualizzare le impostazioni presenti nel computer dell’utente.

C’è, ovviamente, un modo molto semplice per bloccare l’attivazione della webcam: coprirla. Ci sono addirittura venditori di mascherine magnetiche apposite. Questa soluzione, però, non blocca il microfono, che specialmente nei laptop potrebbe essere difficile da scollegare o tappare.

Questo articolo è stato aggiornato dopo la pubblicazione iniziale e vi arriva grazie alla gentile donazione di “marziopanc*”.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.