Ricevi gli aggiornamenti nella tua email:


feb
9th

Mission Impossible: Attaccare i Sistemi Isolati

Author: Angelo Righi | Cyberwarfare, Security

Qual’è il computer più sicuro? Un computer spento? No. Come direbbe qualcuno, un operatore può essere convinto, tramite un attacco di social engineering, ad accenderlo, e quindi tornerebbe a far parte dell’insieme dei sistemi attaccabile. Certo, è un paradosso, ma mostra abbastana bene qual’è la mentalità degli hacler..

Se progettare un sistema connesso sicuro è difficile, un sistema isolato dovrebbe essere molto più semplice. Tutti abbiamo visto Tom Cruise che per accedere al sistema isolato della CIA si deve introdurre fisicamene nella sede dell’agenzia di spionaggio e calarsi dal soffitto.

Ebbene, non c’è bisogno di acrobazie cinematografiche per accedere ad una rete air-gapped:  la realtà supera la fantasia hollywoodiana. Oggi esistono malware in grado di infiltrarsi in sistemi non connessi alla rete e di esfiltrare informazioni.

Il primo malware ad introdursi in una rete protetta sensibilissima è stato il celeberrimo Stuxnet, vero atto di cyberwafare diretto verso il programma nucleare iraniano; ma recentemente, i laboratori Kaspersly hanno scoperto un precursore, nome in codice “Fanny”, elaborato da Equation Group, squadra di hacker dall’abilità stupefacente.

Fanny è un USB worm, in grado di propagarsi in una rete protetta non connessa alla rete, attraverso i dispositivi mobili USB. Sfruttando un zero-day (ex zero-day, ormai patchato da anni), Fanny era in grado di avviarsi automaticamente in modo trasparante  quando una chiavetta USB infetta veniva collegata al computer.

In questo modo il computer isolato veniva infettato; ma come facevano gli hacker a ottenere informazioni, o addirittura impartire comandi al computer così infettato?

Semplice: quando la chiavetta USB veniva staccata dal computer isolato ed attaccata ad un altro computer (questa volta collegato ad Internet) il malware era in grado di scambiare informazioni con i suoi controllori/creatori. Fanny poteva trasportare informazioni in una partizione segreta nascosta all’interno della normale struttura del disco.

Semplice, geniale ed efficace. Ma non basta. I sistemi “isolati” sarebbero vulnerabili ad altri tipi di attacchi in grado di sfruttare i side-channel, come l’emissione radio o addirittura l’emissione acustica.

Alcuni ricercatori israeliani, hanno dimostrato, con il progetto AirHopper come sia possibile intercettare con un telefono cellulare posizionato nelle vicinanze, i segnali emessi da un computer fisicamente isolato. Il limite di questo metodo è la distanza (il cellulare deve essere nel raggio di pochi metri), e la banda (13-60 bytes al secondo).

Un altro studio, ha dimostrato come sia possibile creare una rete sfruttando le capacità audio di un computer, per inviare e ricevere informazioni tramite ultrasuoni.

Queste ultime tecniche sono state testate solo in laboratori e non in  scenari reali (almeno, fino alla prossima rivelazione di Snowden), però indicano come gli hacker tendano a muoversi sempre verso canali trascurati e non protetti, escogitando metodi di attacco prima considerati impossibili.

 


Altri articoli:

SpeedLinks 20070810
BitLet è un client Torrent online. Per scaricare un file basta copiare l'indirizzo di un torrent nell'apposito...

GuerrillaMail: Combatti lo Spam con Email Usa-e-Getta
GuerrillaMail mette a disposizione un servizio interessante: l'email usa e getta. Usarlo è semplice,...

Qual’è il Modo Migliore per Navigare Anonimi?
Qual’è il modo migliore per proteggere la propria privacy durante la navigazione Internet? La stessa...

Quale’è il computer più sicuro del mondo?
Quale'è il computer più sicuro del mondo? Qual'è la condizione (o la serie di condizioni) che contribuiscono...


gen
6th

Google Trova uno Zero-Day in Windows 8.1

Author: Angelo Righi | Security

Da quando Google è entrato nel mondo della ricerca di vulnerabilità nei software, questo è il primo clamoroso risultato. Infatti è merito del Google Project Zero la scoperta di una vulnerabilità zero-day nel sistema operativo di punta di Microsoft.

La vulnerabilità scoperta colpisce Windows 8.1. Si tratta di una falla di tipo EoP (Elevation of privilege), utilizzata dagli hacker per ottenere privilegi più elevati di quelli ottenuti durante la prima fase dell’intrusione, ovvero quelli di Administrator.

La vulnerabilità si annida nella funzione NtApphelpCacheControl, e permette di eseguire programmi con i massimi privilegi, aggirando lo user account control (UAC).

Benchè questo bug non possa essere sfruttato direttamente (l’hacker deve essere già riuscito ad accedere al sistema), la vulnerabilità è grave: la scalata di privilegi è una tappa fondamentale del processo di intrusione.

;Maggiori dettagli possono essere trovati nel database del Google Project Zero

 


Altri articoli:

Google in stile dark!
JLorenz ha scritto: Siete stufi del solito bianco di Google? Allora è il momento di seguire il nostro...

Proteggi la tua Privacy Online con HTTPS Everywhere
Sai che tutte le informazioni che escono dal tuo computer transitano in chiaro su Internet? Significa...

Rilasciato Google Desktop 3.0
sconosciuto ha scritto: E' stato rilasciato Google Desktop 3.0, che permette di implementare le funzioni...

Windows Live Search: rincorrendo Google…
JLorenz ha scritto: Poco fa Microsoft ha promesso di togliere la distanza che la separa da Google,...


dic
15th

Poweliks: il Malware Persistente Senza File

Author: Angelo Righi | Exploit, Security

Quando si parla di malware spesso si fa riferimento a uno o più file che infettano il computer, file che vengono analizzati dai ricercatori e dai quali vengono estratte le “firme” che alimentano i database degli antivirus. Ma se un malware non ha un file, la situazione si complica.

I laboratori GData hanno pubblicato un report su un malware estremamente furtivo, in grado di nascondersi e restare persistente all’interno di un sistema, ma senza la necessità di “incarnarsi” in un file.

Poweliks (questo è il nome del malware in questione), è in grado di nascodere il proprio “corpo” all’interno del registro di sistema, senza intaccare direttamente il file system. Inoltre, per aumentare il proprio grado di furtività, nasconde il proprio payload attraverso diversi livelli di codifica.

A rendere ulteriormente complesso rintracciare questo malware, il nome della chiave di registro utilizzata per effettuare l’autostart, è formato da un carattere non ASCII, cosa che rendere l’accesso al valore assai complesso, almeno tramite i normali strumenti di amministrazione.

Riassumendo le fasi dell’infezione:

  • Poweliks entra nel sistema sfruttando una vulnerabilità in Microsoft Word (ovvero CVE-2012-0158)
  • Crea una chiave di registro, il cui valore è il malware stesso
  • Il malware diventa persistente insediandosi nell’autostart
  • Alla fine il malware viene eseguito in memoria

Ma non basta: la chiave di registro non contiene il codice in chiaro ma bensì:

  • Un file JScript codificato, il quale a sua volta contiene
  • Uno script PowerShell al cui interno troviamo
  • Una shellcode codificata in Base64

Questa shellcode è il malware vero e proprio, in di stabilire una comunicazione con la centrale di Comando&Controllo.

 


Altri articoli:

Ransomware: Come Decifrare i File Sequestrati da Cryptolocker
Negli ultimi anni si è affiancato, alle classiche forme di malware, una nuova tipologia di minaccia...

Top Cyber Security Risk Report
Periodicamente le grandi organizzazioni che si occupano di sicurezza presentano analisi e studi sulla...

Come Liberare Rapidamente i File Bloccati
Talvolta capita che ci si trovi nella deprecabile situazione in cui un file si ribella e non ha la minima...

Prevx CSI: Elimina il Malware in 2 Minuti
Secondo le statistiche di Prevx, azienda esperta in sicurezza informatica, un PC su 4 è infettato da...


nov
15th

Teoria della Comunicazione Privata Sicura

Author: Angelo Righi | Security

In un mondo senza più segreti, la riservatezza delle comunicazioni è diventata utopia. Ma se la tecnologia è utilizzata quotidianamente per attentare alla nostra privacy, è la tecnologia stessa che può fornirci alcune armi di difesa. In questo post pubblico alcuni consigli e alcune tecniche per rendere meno deboli le proprie comunicazioni personali.

Da chi ci difendiamo?

Prima di capire come difendere le nostre comunicazioni private, è necessario capire da chi ci dobbiamo difendere, per capire fino a che punto potremo difenderci.

Probabilmente non saremo in grado di difenderci da soggetti globali (Facebook, Google…), e dalle grandi organizzazioni di spionaggio (NSA, CIA…). Qualche possibilità in più l’avremo se il nostro avversario sarà rappresentato da forze dell’ordine, organizzazioni criminali e/o terroristiche. Infine, contro l’hacker della porta accanto, dovremmo ottenere un facile successo.

Come possiamo difenderci?

Innanzitutto non  ci si può fidare dei grandi provider, dei servizi social, dei servizi di cloud storage. Le uniche armi che abbiamo a disposizione sono due:

Le Abitudini

Per abitudini intendo l’utilizzo di  particolari accorgimenti quando si scambiano informazioni che noi riteniamo imporanti, come non parlarne in chat (anche “private”) dei social network. Senza diventare novelli James Bond, è necessario capire che tutto quello che entra nel sistema (Internet, telefonia), è in una certa misura osservabile.

Bisogna inoltre abituarsi a trattare con maggior responsabilità i propri dispositivi (smartphone, tablet, ma anche smart tv e qualsiasi altra cosa collegata a Internet e che usiamo per comunicare, evitando di installare applicazioni di dubbia utilità e provenienza.

E’ necessario capire che i dispositivi devono essere aggiornati, che le password scelte non siamo deboli e banali, e che non siano riutilizzate tra servizi diversi.

Questi sono comportamenti basilari da apprendere, da adottare in maniera naturale, senza i quali non c’è tecnica o tool che tenga.

La Crittografia

Con la crittografia possiamo creare ostacoli (anche insormontabili) ai nostri avversari. Certo, si fa presto a dire crittografia. Non sempre i servizi che vengono presentati come sicuri perché basati su tecnologie crittografiche, lo sono veramente.

Per avere un buon grado di riservatezza, non basta che le comunicazioni siano cifrate, ma dovrebbero anche implementare un paio di caratteristiche:

E2EE (End-to-end-encryption):

La crittografia deve essere stabilita tra i due punti estremi del canale di comunicazione, ovvero dal computer (o smartphone, telefono…) del mittente al computer del destintario. Per esempio, le informazioni devono essere cifrate all’interno del browser, o del programma di IM.

PFS (Perfect forward secrecy)

Le chiavi di sessioni devono essere effimere, ovvero devono nascere e morire all’interno di una sola sessione: se anche i nostri avversari venissero in possesso di una chiave di sessione,non sarebbero comunque in grado di decifrare altre sessioni, quindi una sola conversazione, non tutte.

Naturalmente i due punti estremi della comunicazione devono essere sicuri, altrimenti l’anello debole della catena diventa il proprio computer.

Se rispetteremo tutte queste indicazioni, potremo stare tranquilli? No. Ancora una volta, ci si deve domandare da chi ci si difende e per quale motivo.

Però, adottando i suggerimenti descritti in questo post, saremo in grado di raggiungere un ragionevole livello di sicurezza delle comunicazioni personali, e avremo reso assai più complesso il lavoro dei nostri nemici “intercettatori”.

 


Altri articoli:

Hamachi, una VPN in pochi click
admin ha scritto: Vi serve una VPN (Virtual Private Network, rete privata virtuale), ma siete spaventati dalla...

Come Inviare Velocemente e Semplicemente Email Cifrate
Viviamo in un mondo di spioni, la nostra privacy è quotidianamente minacciata da mille occhi indiscreti,...

Guerra Fredda 2.0 e Pedinamento dei MAC Address
La profezia non si è avverata. La Storia non è finita nel 1989 dopo il crollo del muro di Berlino...

GSM Craccato:Usare il Cellulare Non è Mai Stato Così Pericoloso
La notizia comparsa sul Sole 24 Ore il 30 dicembre appena passato ha fatto un po' meno scalpore di quel...


ott
31st

Perchè le SQL Injection Sono Ancora Pericolose

Author: Angelo Righi | Security

La SQL Injection rimane oggi, dopo oltre quindici anni dalla sua apparizione pubblica, una delle principali tecniche per attaccare una web application, basti guardare cosa sta succedendo ad un CMS popolare e diffuso come Drupal.

In breve ricordo che per SQL Injection si intende la possibilità da parte di un attacker, di iniettare codice arbitrario all’interno di una interrogazione SQL, sovvertendone il comportamento, e aprendo le porte dell’aggressore all’accesso non autorizzato a dati, al sistema, o addirittura ad una rete.

Questo post che scrissi alcuni anni fa dimostra come ottenere i massimi privilegi di un sistema partendo da una vulnerabilità SQL Injection.

La soluzione del problema sarebbe abbastanza semplice, ovvero trattare in maniera adeguata i parametri di input. L’utilizzo di framework riduce il rischio ma non lo annulla. In più, l’ignoranza e l’arroganza di presunti o sedicenti programmatori fa il resto.

Ma anche nel caso in cui i parametri venissero adeguatamente trattati, permane comunque il rischio di incappare in un diverso tipoo di attacco: la Second Order SQL Injection.

In qusto genere di attacco, l’injection non viene sfruttata direttamente nella pagina  in cui viene infiltrata, pagina dove potrebbe anche essere effettuata una corretta input sanitization, ma l’attacco viene portato in un altro punto secondario, dove la query viene richiamata senza un adeguato controllo dei parametri.

In questo interessante post, Davie Girardi detto “GiRa” dimostra come funziona questo attacco, e mostra anche un interessante approccio su come usare uno strumento ampiamente utilizzato per sfruttare SQL Injection convenzionali durante un penetration  test, sto parlando di Sqlmap, insieme ad uno script artigianale creato ad hoc.

Dopo tanti anni le SQL Injection sono ancora tra noi, e le tecniche ortodosse per evitarle possono non bastare. L’unico rimedio è la formazione continua del personale, dei programmatori, degli addetti alla sicurezza, per fare in modo che la conoscenza reale del pericolo si adeguata ai tempi.


Altri articoli:

Vista Vulnerabile ad un Nuovo Attacco DoS
Mese difficile per  Microsoft. Dopo il bug dell'Ftp di IIS, ha fatto la sua apparizione pubblica un...

SQL-Injection in Joomla DigiFolio Component 1.52
Il componente Joomla "DigiFolio" versione 1.52 è vulnerabile ad un attacco SQL-Injection. DigiFolio...

SQL Injection contro Tremonti
L'Onda Anomala della protesta studentesca travolge anche il sito del ministro Giulio Tremonti. Qualche...

Scarica Gratuitamente Insecure Magazine 25
Come sta cambiando il penetration testing? Conoscete le tecniche più inusuali di SQL injection? A...