gmail bucato

Gmail, Myspace, Hotmail e altri siti bucabili via Wifi

Paolo Attivissimo, Aug 07, 2007 11:18:00 GMT
Usi il Wifi in giro? Occhio agli spioni, ti rubano la posta e l'identità

Questo articolo vi arriva grazie alle gentili donazioni di "pietrom****" e "flzgrl".

La conferenza di sicurezza informatica Defcon tenutasi pochi giorni fa a Las Vegas ha visto riuniti alcuni dei migliori smanettoni del mondo per presentare le loro scoperte. Son dolori per tutti: una delle segnalazioni più clamorose è la facilità con la quale si può non soltanto intercettare una connessione a Internet effettuata in un luogo pubblico tramite i tanti siti Wifi di alberghi, locali e Internet café, ma addirittura assumere l'identità dell'intercettato, raccogliere le sue informazioni personali, leggere la sua posta e sostituirsi a lui o lei in tutto e per tutto, senza conoscere alcuna password.

Robert Graham, della Errata Security, ha dimostrato spettacolarmente l'efficacia della propria tecnica d'intrusione prendendo il controllo di una sessione Web di Gmail e leggendo la posta della vittima durante la sua presentazione. Ha poi ripetuto la dimostrazione per i giornalisti rubando l'account di posta sacrificale di George Ou di ZDNet. Le foto sono qui.

L'attacco si basa sul fatto che la maggior parte degli accessi Wifi pubblici o a pagamento lavora senza cifratura, per semplicità, per cui il flusso di dati grezzo trasmesso via radio è intercettabile da chiunque sia dotato di un normale laptop con scheda Wifi e di un apposito programma sniffer che legge e decifra i dati che girano in chiaro nell'etere. Graham ha usato Ferret su Windows, ma ci sono moltissimi altri programmi analoghi, quasi tutti gratuiti e per tutti i principali sistemi operativi.
In sé questa non è una novità: da anni si sa che usare un Wifi non cifrato è un rischio. La novità è che Graham ha dimostrato che pescando dal flusso di dati i cookie (file temporanei mandati dai vari siti per gestire le sessioni), basta immettere questi cookie nel proprio browser (usando un apposito programma scritto da Graham, di nome Hamster, mostrato in azione nella foto tratta da TGdaily.com) per assumere l'identità della vittima o spiarne l'attività e la corrispondenza presso qualsiasi sito che gestisca le sessioni tramite cookie non cifrati: Gmail, Google Maps (per sapere dove abita la vittima rubandone i luoghi preferiti), Myspace, Hotmail, Facebook e tanti altri. Non occorre conoscere né nome utente, né password.

La falla, secondo Graham, sta nel fatto che le sessioni di questi siti non sono cifrate completamente: lo sono soltanto all'inizio, quando ci si collega e si immettono i propri codici d'accesso. Da quel punto in poi, le sessioni proseguono in chiaro, sfruttando i cookie come chiavi di sessione per "garantire" (si fa per dire) l'identità dell'utente.

I rimedi sono di vario genere. Chi sa usare una shell protetta (Secure Shell, SSH) o una rete privata virtuale (Virtual Private Network, VPN) è bene che la usi: evitare gli accessi Wifi non cifrati è comunque altamente consigliabile; e in ogni caso la sessione andrebbe cifrata interamente ove possibile. Per esempio, Gmail non cifra la sessione se vi si accede digitando http://mail.google.com, ma lo fa se si digita https:// al posto di http://.

Purtroppo la maggior parte degli utenti non sa neppure di essere esposta a questo genere di rischio e quindi dissemina infinite tracce della propria identità che chiunque può raccogliere. Non sapendolo, non sa neanche di dover prendere delle contromisure, e i siti hanno la loro parte di responsabilità nel non gestire di default le sessioni usando la cifratura.

A migliaia i siti web italiani attaccati da Mpack

Il Software - IL sito italiano sul software

E' allarme generale per un'ondata di attacchi informatici che sta colpendo, in particolar modo, il nostro Paese.

Il problema ingeneratosi in questi giorni è conseguenza dell'utilizzo, da parte di un gruppo di malintenzionati, del kit "Mpack 0.86", mediante il quale centinaia e centinaia di siti web italiani hanno visto le rispettive home page compromesse mediante l'aggiunta di una tag IFRAME maligna facente riferimento ad indirizzi IP legati a sistemi che ospitano componenti malware.

Mpack è una collezione di script PHP, sviluppati in modo professionale, che offrono una vasta gamma di metodologie d'attacco per effettuare l'exploit di numerose vulnerabilità di sicurezza ed eseguire così del codice nocivo sulle macchine prese di mira. Mpack viene venduto da un'organizzazione russa: la sua installazione è inoltre incredibilmente semplice.

Una volta effettuata quest'operazione, il kit può essere sfruttato per aggiungere tag IFRAME all'interno di pagine web ospitate su macchine vulnerabili, avviare campagne di spam inserendo tag IFRAME maligni nel corpo del messaggio di posta elettronica, attivare domini simili a quelli di siti web famosi ed inserendovi all'interno componenti dannosi (attività di "typo-squatting").

Grazie alla tag html IFRAME aggiunta nei siti web attaccati e violati mediante l'uso di Mpack, ogniqualvolta un utente visita il sito legittimo, il suo browser provvederà a caricare anche il contenuto dell'IFRAME. A questo punto, il server maligno, cui fa riferimento la tag IFRAME, provvederà a stabilire il sistema operativo ed il browser utilizzato dal client collegato selezionando automaticamente le vulnerabilità che è possibile tentare di sfruttare. In questo modo, il sistema dell'ignaro utente, qualora non risultasse aggiornato mediante l'applicazione di tutte le patch di sicurezza, potrebbe essere a sua volta infettato. Si tratta di una strategia d'attacco che rasenta la perfezione e che può consentire, ad esempio caricando componenti trojan o keylogger, di "rubare" all'utente informazioni sensibili o credenziali di accesso.

Trend Micro fa presente che i siti attaccati sarebbero essenzialmente pagine web italiane dedicato al turismo ed ai viaggi. Spiegazione: "Luglio è alle porte e per l'Italia si apre la stagione del turismo e delle vacanze. Vi è anche la probabilità che questi episodi siano in realtà solo una fase preparatoria per un attacco ben più strutturato, da compiere durante l'imminente stagione italiana delle vacanze".

Sono più di 10.000 i siti web attaccati. L'hoster maggiormente preso di mira è risultato essere Aruba che sta in queste ore tentando di far fronte all'emergenza.
La modifica delle pagine di siti web assolutamente legittimi è molto probabilmente diretta conseguenza di problematiche relative alla configurazione software del server utilizzato. E' possibile, inoltre che gli amministratori di molti siti web non siano a conoscenza della situazione.

Per l'utente finale, quindi, che "naviga" sul web le raccomandazioni sono le solite: utilizzare sempre un antivirus (da mantenere sempre costantemente aggiornato) e provvedere all'installazione di tutte le patch di sicurezza rilasciate periodicamente dai vari produttori relativamente al sistema operativo e a tutte le applicazioni in uso.
Aggiungiamo, inoltre, che l'adozione di un "personal firewall" in grado anche di filtrare i contenuti potenzialmente nocivi presenti nelle pagine web può contribuire a scongiurare qualunque tipo di rischio d'infezione.

Usare Windows Vista senza attivazione

• "120 Day Test" poichè Vista è utilizzabile per 30 giorni senza attivazione, è possibile installarlo e, prima che scadano i 30 gg, eseguire il comando rundll32 slc.dll,SLRaArmWindows per godere di un ulteriore periodo di test per altri 30 giorni. NB il comando è eseguibile non più di 4 volte, ma se prima del 120° giorno si formatta e reinstalla tutto...
  
• "2099 Bios Trick" elaborazione del trucco precedente: bloccare le comunicazioni con internet, porre da BIOS la data al 2099, installare Vista e ripristinare la data corretta dopo aver eseguito (una volta sola) il comando: rundll32 slc.dll,SLRaArmWindows; per verificare la corretta procedura, eseguire in giorni diversi il comando slmgr.vbs -dlv che mostra i giorni rimanenti per l'attivazione: se il conteggio rimane fisso a 30gg, tutto è andato liscio...NB: esiste un tool che automatizza il tutto
  
• "KMS server" i CD corporate di Windows XP sono ora stati sostituiti da versioni di Vista Business ed Enterprise che funzionano con "volume-license" che tuttavia richiedono una sorta di conferma via internet ogni 180 giorni attraverso un collegamento che, anzichè passare per i server Microsoft, può essere indirizzato ad un server interno dell'azienda (KMS, Key Management Service). Gli hacker hanno pertanto prodotto un tool che simula il server (via internet o via VMWare) per consentire ad un PC con tali versioni di Vista di confermare la propria autenticità...
• "winlogon.exe API hook" deputato a controllare l'autenticità della versione installati di Windows è il file winlogon.exe che effettua tale compito ad ogni avvio; con un hack le richieste di tale file vengono catturate e riscontrate con una falsa risposta, che gli fa credere che windows sia stato avviato in modalità provvisoria, per la quale non occorre autenticità; tale hack è attivo da tempo per XP ed è solo una questione di tempo che lo diventi anche per Vista