ExploitHub è il primo marketplace per armi digitali, dove per armi digitali si intendono gli strumenti (exploit) che permettono agli ethical-hacker di portare a compimento con successo un penetration-test. In particolar modo su ExploitHub, a differenza di altre iniziative simili, sono disponibili exploit non zero-day.

A chi serve, a chi si rivolge questo servizio? Si rivolge ai penetration-tester, che hanno la necessità di arricchire il proprio arsenale digitale per svolgere al meglio il proprio lavoro; ma anche ai ricercatori che trovano vulnerabilità e realizzano i codici in grado di sfruttarle. ExploitHub semplicemente mette in contatto queste due figure complementari del mondo della sicurezza informatica.

Benché il servizio si rivolga agli ethical hacker, nessuno garantisce sull’uso che verrà fatto da questi script da parte degli acquirenti.

Al momento su ExploitHub è possibile trovare exploit scritti appositamente per Metasploit, anche se è prevista per il futuro la disponibilità di exploit stand-alone. E’ possibile trovare script in grado di attaccare piattaforme Windows e Linux, web-servers e database, sia lato client che server-side.

Quanto costa un exploit? Spulciando nel sito ne ho trovati da $100 fino a $1500, più o meno questo dovrebbe essere il range di riferimento.

Se sei un ricercatore, se hai trovato delle vulnerabilità e sei in grado di scrivere exploit che funzionino anche nel mondo reale (fuori dal laboratori), prova a dargli un’occhiata, potrebbe essere una buona opportunità per arrotondare lo stipendio.

Segnala presso:

Innanzitutto occorre fare un po’ di chiarezza sui sistemi adottati dalle poker room stesse, spesso percepite come “il nemico”. Quest’ultime infatti sono severamente monitorate da apposite autorità che tutelano e garantiscono la regolarità dei vari giochi di poker online e l’imparzialità del casinò stesso, soprattutto per quanto riguarda gli algoritmi di generazione delle carte. Non solo nessuna poker room seria è in grado di farvi avere carte vincenti o perdenti a comando ma nessuno sarà neanche in grado di indovinare l’ordine di uscita delle carte.

Certo però rimangono altre falle nel sistema, ma niente paura, le soluzioni vengono trovate sempre abbastanza velocemente. Ad esempio in passato alcuni trojan che l’utente involontariamente scaricava tramite siti di filesharing, potevano comunicare le nostre carte al loro creatore, ma questa piccola minaccia è stata presto sventata.

Dopodiché sono apparsi sulla scena i “bot”, dei giocatori automatici in grado di gestire vari tavoli simultaneamente, ma la loro prevedibilità sia nelle mosse che nella tempistica fa sì che vengano spesso scoperti ed eliminati, anche se il loro scarso uso è dovuto più che altro al fatto che è ancora difficile per un bot battere un buon giocatore di poker.

E siamo quindi arrivati alla vera minaccia per i giocatori, quella che esiste da quando esiste il gioco in sè, ossia i giocatori disonesti. E’ successo che utenti riuscissero ad aprire due account e, spacciandosi per due giocatori diversi, riuscivano a manovrare la partita a loro favore. Oppure si sentono spesso casi di collaborazione fra due giocatori reali che si comunicano le carte via programmi di messaging .

Anche in questa circostanza si fa presto a fare i conti senza l’oste: la presenza contemporanea sempre agli stessi tavoli allo stesso momento, aggiunta alla sospettosità delle mosse, conduce le autorità sulle loro tracce, con gravi conseguenze per i “furbetti”.
Che fare quindi per giocare in sicurezza? Il nostro consiglio è quello di affidarvi alle poker room più autorevoli e dunque più controllate. Date un occhio alla lista completa delle migliori poker room italiane recensite da pokerlistings.it

(in collaborazione con pokerlistings.it)

Segnala presso:

E’ disponibile da alcuni giorni il Microsoft Security Intelligence Report 10 (SIR). Si tratta di un report realizzato dalla casa di Redmond che scruta il panorama attuale delle minacce provenienti da Internet (vulnerabilità, exploit, malware, virus, worm) basato sui dati provenienti da 600 milioni di sistemi sparsi in tutto il mondo.

Da questo report, che fa riferimento all’anno 2010, emergono alcuni punti chiave interessanti, ne riassumo alcuni suggeriti da ISC

• A partire dal secondo trimestre del 2010 sono aumentati gli attacchi portati attraverso vulnerabilità di Java

• Importante la presenza attacchi portati attraverso IFRAME, dato che mette in evidenza come siti web legittimi e affidabili siano compromessi e utilizzati come vettori di infezione

• Conficker è il worm più attivo negli ambienti enterprise, ma è solo al nono posto nella classifica generale per quanto riguarda i malware diffusi in Internet.

Il SIR  è disponibile anche in lingua italiana ed è scaricabile gratuitamente da qui.

Segnala presso:

Negli ultimi mesi ho più volte affrontanto l’argomento Stuxnet, in particolar modo dal punto di vista della cyberwarfare e del suo impatto sul mondo della politica. Per chi non lo sapesse, Stuxnet è il worm più celebre dell’anno, l’evento cyber-geopolitico del momento; la sua caratteristica principale è il suo comportamento, finalizzato al sabotaggio di particolari sistemi per la gestione delle centrifughe delle centrali nucleari, con un ‘attenzione particolare per le centrali iraniane. Qualcuno nella vicenda spionistica di Stuxnet ci ha pure lasciato le penne.

In questo post voglio invece spostare l’attenzione sull’aspetto tecnico del fantomatico worm in questione. Innanzitutto suggerisco la lettura del W32 Stuxnet Dossier prodotto da Symantec.

Eccomi finalmente al tema del post, ovvero all’analisi di Stunext tramite l’uso dei tools di Sysinternals. Chi segue l’informatica da un po’ di tempo, e in particolar modo Windows e i suoi meandri più segreti, sicuramente ha sentito parlare di Sysinternals e forse in particolare di uno dei suoi co-fondatori, Mark Russinovich.

Fondato nel 1996 da Russinovich stesso e da Bryce Cogswell, Sysinternals (acquisito da Microsoft nel 2006), è il punto di riferimento per chi vuole approfondire gli aspetti più oscuri del prodotto principe di casa Microsoft, ovvero Windows. Nel corso degli anni Sysinternals ha prodotto documenti di analisi e soprattutto tools di ogni genere per il monitoraggio e la diagnostica del sistema.

Negli ultimi mesi Russinovich ha pubblicato sul suo blog tre  due articoli (a breve pubblicherà un terzo episodio) dedicati all’analisi di Stuxnet con questi tools:

• Analyzing a Stuxnet Infection with the Sysinternals Tools, Part 1
• Analyzing a Stuxnet Infection with the Sysinternals Tools, Part 2
• Analyzing a Stuxnet Infection with the Sysinternals Tools, Part 3

In questi articoli Mark ha dimostrato come utilizzare Process Explorer, Autoruns, VMMap, per “pedinare” le attività worm nel sistema. Con l’ausilio di Autoruns Mark ha scoperto il cuore del worm (i drivers mrxcls.sys e mrxnet.sys), ed ha scoperto anche che basta eliminare questi file ed effettuare il reboot per eliminare la minaccia! Un worm così sofisticato che si elimina in maniera così semplice. Con gli altri strumenti di analisi Russinovich ha poi “visto” Stuxnet iniettare codice in processi di sistema da dove poter così agire indisturbato.

Nel secondo articolo viene mostrato l’uso di Process Monitor, un tool in grado di loggare e mostrare tutti gli accessi di un processo al file system, il registry e il network, utile per completare l’analisi del comportamento del malware. Mark ha insistito in particolar modo sulle funzioni di filtro degli eventi, caratteristica fondamentale se si vuole evitare di affogare ed essere distratti in migliaia di dati non essenziali. Inutile sottolineare che si tratta di un’attività che necessita di conoscenze medio/alte per poter essere portata a termine con qualche risultato.

Chiaramente l’analisi dinamica del worm effettuata con questi strumenti, ovviamentre in un ambiente controllato (con un Windows Xp come cavia in questo caso) non sostituisce (ci mancherebbe!) l’analisi statica e il reverse engineering, attività complementari dell’analisi del malware.

Suggerisco di leggere con attenzione questi articoli, e di approfondire l’uso di questi tools, utili non solo nell’analisi di virus e animaletti vari, ma sono anche potenti strumenti di diagnostica utili per tentare dki capire dov’è si nasconde l’intoppo.

Di passata segnalo anche che Mark Russinovich ha recentemente pubblicato un romanzo in stile Crichton e Clancy (lo dice lui). Per chi fosse interessato il titolo del romanzo è “Zero Day” (intrigante nevvero?).

Segnala presso:

Gli attacchi remoti sono letali e spettacolari, ma gran parte delle minacce informatiche arrivano dall’interno. La sicurezza interna viene spesso colpevolmente sottovalutata; spesso si pensa che un buon firewall possa risolvere totalmente il problema della sicurezza. Ovviamente non è così. Tra gli attacchi che possono essere portati ad un’infrastruttura partendo dal punto più vulnerabile, ovvero la rete interna, ecco una lista di quelli più pericolosi e diffusi.

1. Patch mancanti sui server Windows
Al primo posto dei metodi più comuni per compromettere una rete interna c’è la mancanza di patch sui server. La mancata implemenazione di una policy di aggiornamenti fa si che la prima linea di difesa dei server rimanga sguarnita. Le porte 139 e 445 dei servizi SMB sulle macchine Windows offrono un’ampia superficie per gli attacchi interni.

2. Password deboli
Probabilmente è esperienza comune a molti: quante volte avete visto in ambito lavorativo l’utilizzo di password banali,  che fanno riferimento a una funzione, ad una divisione dell’azienda, o il nome dell’azienda stessa? Ebbene, questa è una situazione comune assai diffusa.

3. Password condivise
Le password, oltre ad essere deboli, spesso sono anche condivise tra diversi sistemi.  Un sistema invulneabile perché patchato, potrebbe essere bucato sfruttando le credenziali recuperate su di un altro sistema, magari ottenute sfruttando una vulnerabilità non patchata (punto 1).

4. Informazioni sensibili su condivisioni di rete
Spesso le condivisioni di rete vengono sottovalutate. In diversi uffici esistono cartelle comuni, accessibili senza particolari problemi da da tutti gli utenti, i quali memorizzano con disinvoltura qualsiasi genere di informazione. Anche condivisioni utilizzate come punto di memorizzazione per backup (di database per esempio), sono risorse preziosissime per un peneration tester. Su queste condivisioni si trovano spesso documenti contenente credenziali per poter accedere ad altri sistemi.

5.  Sicurezza delle Workstation
Se le policy di aggiornamento dei server sono sottovalutate, la sicurezza delle workstation viene considerata ancor meno importante. Le workstation possono essere utilizzate come punti di accesso alla rete, oppure da questi computer possono essere recuperate credenziali deboli e/o condivise con sistemi critici.

Per concludere questo articolo (liberamente ispirato a “Top 5 Common Internal Infrastructure Issues”), aggiungo che oltre agli aggiornamenti Microsoft, vengono ampiamente sottovalutate le vulnerabilità di software di terze parti (Adobe, Flash, QuickTime).

Segnala presso:

Oggi, qui su PH, abbiamo un ospite d’eccezione, prima di dirvi il suo nome vi cito un po’ delle sue referenze: sviluppatore della famosissima distribuzione Back|Track, co-fondatore della comunità italiana di questa distribuzione, fondatore del portale italiano di Fluxbox nonchè penetration tester per la famosa azienda italiana Tigersecurity srl, è conosciuto in rete con il nome di brigante. Di chi stiamo parlando? Per chi non lo conoscesse il suo nome è Carlo Velletri.

Visto che ogni tanto ci sentiamo via mail (più che altro lo stresso ) gli ho chiesto se, dall’alto della sua esperienza, poteva rispondere ad alcune domande relative a ciò che ci interessa di più, che è anche la sua materia, cioè la sicurezza informatica e l’hacking. Iniziamo:

Daniele Chiuri: Come sei diventato un pentester?

Carlo Velletri :La passione per l’ informatica in generale l’ho sempre avuta fin da bambino, anche se per molto tempo sono stato per vari motivi lontano da un pc appena mi sono ritrovato una macchina e una connessione decente da utilizzare è rinata in me la passione dell’ informatica, anche grazie all’ allora frequentazione di un forum fantastico quale ancora è rbt-4.net.
Poi dal 2006 mi sono appassionato alla distribuzione BackTrack, quindi diciamo che per la prima volta nel 2006 inziavo a tradurre in penetration tester quelle che allora erano parole come hack/hacking, ma con tutto il mio sforzo possibile non mi sarei mai avvicinato all’ ambiente professionale, quindi a ricevere compensi per quello che faccio, se non fosse stato per la collaborazione nata con Emanuele “emgent” Gentili, con il quale ormai da un anno sviluppo la stessa BackTrack e organizzo la community italiana della stessa distribuzione.

DC: Che studi bisogna fare per intraprendere la tua carriera lavorativa?

CV: Gli studi che io consiglio non sono mai standard, nel senso: io sono un ragioniere programmatore, ma se dovessi fare il pentester grazie agli studi scolastici che ho fatto allora sarei disoccupato…la questione è che un pentester si riconosce per quello che sa fare, è uno dei pochi ambienti in cui conta quello che sai fare e non quello che gli altri dicono di te. Va da se’ che naturalmente se si vuole abbreviare il percorso di studio una persona dovrebbe affidarsi a delle certificazioni, magari quelle piu’ indicate al pentesting professionale, (alla offensive-security.com per intenderci), ma senza tralasciare studi su particolari hardware/software come gli apparecchi CISCO e le relative certificazioni. Poi inutile nascondere che: se uno vuole, in rete si trovano tutti gli strumenti per imparare qualsiasi cosa.

DC: Quali sono secondo te le due più grandi regole della sicurezza informatica?

CV: La sicurezza totale non esiste, quindi opto per quello che faccio io, ovvero penetration testing e firewalling, ma un codice sicuro sia in ambito web-app che in sistema è naturalmente il minimo da pretendere per stare relativamente tranquilli.

DC:Secondo te, l’anonimato in rete è possibile?

CV: L’anonimato totale è, come per la sicurezza, impossibile nel senso che quando un utente inizia a capire qualcosa d’informatica del proprio pc e quindi si dedica all’anonimizzasi ormai è troppo tardi, nel senso che non può di sicuro recuperare gli errori che ha fatto già in precedenza e che lo hanno portato a non essere anonimo, ma io credo che non bisogna farsene una malattia. Oggi di sicuro non si puo’ parlare di anonimato totale, ma è pur vero che ci sono strumenti che, se usati bene, possono farci stare relativamente tranquilli e, riguardo l’anonimato in generale, vedi rete TOR e riguardo al tracciamento vedi FoolDNS.com, che oggi è, secondo me, la nuova frontiera da battere.

DC: Quali sono i rischi più grandi che un utente medio può incontrare?

CV: Beh quì siamo in ambito infinito, oggi la vita delle persone è regolata dall’informatica che lo vogliano o no. Le nostre banche eseguono migliaia di transazioni quotidianamente, sia che il poveraccio lo sappia oppure no. Internet non è una “piazza” nata per fare mercato ma per codividere interessi tra persone che occupano uno spazio diverso magari ai capi del mondo, il mettergli delle regole non farà altro che farle rompere. Quindi credo che bisogna che ognuno si affidi anche a se stesso oltre che a professionisti del settore.

DC: Quale distribuzione consiglieresti ad un hacker?

CV: Io ho sempre pensato che un “hacker” non ha bisogno di una distribuzione particolare, ma solo degli strumenti necessari inseriti nella sua distribuzione. Va da se’ che, comunque, se si fanno vari tipi di pentest abituali la distribuzione personalizzata diventa un obbligo, io eseguo moltissimi bruteforce, un bruteforce/attacco a dizionario in background è la prima cosa che metto dopo l’information gathering, quindi non credo che ci sia di meglio che una distro compilata, alla Gentoo per intenderci, magari con la tec. CUDA che a volte puo’ far molto comodo. Se poi un utente, un “hacker”, vuole una distribuzione per tutti i pentest , quelli di ogni occasione, beh BackTrack e’ il massimo no?

DC: Hai mai fallito un penetration test?

Quì bisogna vedere bene cosa si intende per “fallito”, di solito si trova sempre qualcosa da far notare al cliente, un evidenza/un miglioramento, ma a volte si, mi e’ successo di terminare un pentest dove non c’ erano, (per me…), posibilità di sfruttare bugs.

DC: In media quanti penetration test riescono a bucare il sistema che testano?

CV: Diciamo che non è sempre festa, cosi come non c’è una media di riuscita, ma per quella che e’ la mia esperienza posso dire che ogni 10 pentest effettuati 5 sono exploitati, 2/3 con chiare evidenze e/o miglioramenti da apportare e 2/3 senza bug riscontrati.

DC: A volte si sentono notizie di hacker che bucano sistemi informatici di grandi aziende come Google e Microsoft, è vero che queste aziende sono estremamente vulnerabili e che compiono errori che a volte fanno vacillare la sicurezza del sistema?

CV: La questione di Google la prenderei un po’ con le pinze, io sono uno di quelli che pensa che le ultime vulnerabiità riscontrate in applicazioni targate Google siano dovute al gran numero di nuovi servizi offerti in pochissimo tempo, come se si volesse raggiungere un limite stabilito da un concorrente, per intenderci, mentre quelle di casa Microsoft sono chiaramente dovute al loro metodo di lavoro e soprattutto di commercio, non a caso il 60% dei bug verso sistemi o applicazioni Microsoft e’ strettamente rivolto all 80% dei loro prodotti, pensiamo alle ultime vulnerabilita’ sulle DLL, sono riproducibili su applicazioni che girano sul primo Xp fino all’ ultimo Vista/Win7.

DC: Cosa consiglieresti a chi volesse entrare nel mondo della sicurezza informatica?

CV: Di studiare, studiare e ancora studiare, prima si impara a programmare e meglio ci si trova in seguito. Troppe volte si vogliono raggiungere traguardi senza “buttare il sangue” e questo non e’ ne indicato nè sinceramente possibile, se non si affronta prima la parte “Hard” prima o poi ci si dovrà fare i conti, quindi si, vanno bene gli strumenti automattizati, (alla Metasploit per intenderci), ma non affidarsi interamente a questi. Io sono per un inizio a “basso profilo”, non provare a strafare per intenderci, tanto se si è bravi prima o poi qualcuno se ne accorgerà, poi l’informatica è così, per un appassionato è come una droga no? Più studi e più ne hai voglia.

DC: Visto che fai parte di numerosi staff legati al mondo dell’hacking, ci puoi dare qualche novità in anteprima su qualche progetto su cui stai lavorando?

CV: Beh, la nuova BackTrack sarà una distribuzione che lascerà il 90% degli utenti a bocca aperta per molti motivi, stiamo cambiando interamente il metodo di costruzione dei binari e vedremo diverse BackTrack…. …questo per far capire un po’ tutto e nulla allo stesso tempo
Come community italiana di BackTrack, stiamo inziando a lavorare ad un nuovo progetto sul Social Engineering, troppo sottovalutato dalle grandi aziende in Italia, cercando appunto di risvegliare la loro attenzione sull’ argomento.
Con la community italiana di Fluxbox invece abbiamo buttato giù l’idea di una nostra distribuzione, ma e’ troppo presto per parlarne. Grazie tutti =)

Grazie a te brigante per la tua disponibilità. Ci hai insegnato molte cose in queste poche parole. Grazie ancora.

Segnala presso:

WordPress è una applicazione web, e come tutte le applicazioni web è soggetta a pericoli. Questi pericoli possono essere legati a bug dell’engine, bug dei plugin, ad errori di configurazione oppure a problemi di debolezza delle password.

Come ho messo in risalto in un articolo precedente, la password di amministratore, anzi di qualsiasi utente, può essere attaccata tramite dictionary-attack (o brute-force attack). A tal riguardo suggerisco di controllare anche l’articolo “WordPress Brute Force Script” pubblicato su clshack.it.

Per mettere al sicuro il vostro blog WordPress vi suggrisco di dare uno sguardo all’ottimo articolo “Sicurezza di WodrPress: 9 Plugin per Dormire Sonni più Tranquilli”, scritto da Erriko

Su questo post vengono elencati nove plugin molto utili per ridurre le probabilità di trovarsi “bucato” o vandalizzato il proprio blog. Vi raccomando di leggerlo.

Concludo ricordandovi di aggiornare costantemente l’engine e i plugin, di effettuare backup periodici e di scegliere delle password sicure. Soltando seguendo queste semplice regole, il grado di protezione del sito aumenterà in modo considerevole.

Segnala presso:

Ma non solo.  Mi sono accorto che ultimamente stanno nascendo come funghi magazine di hacking/security, riviste di ottimo livello. Da anni riporto le uscite trimestrali di Insecure Magazine; da un paio di mesi segnalo anche le uscite mensili di Hakin9, che da Maggio ha abbandonato le edicole per diventare magazine gratuita online.

Ed è grazie a questo fine settimana di spaparanzo che mi sono accorto di una nuova rivista: HITB. Storica ezine HITB (Hack in the box) si è trasformata da Gennaio in un trimestrale in formato Pdf (come le altre due riviste di cui sopra).

Riassumo qui le ultime uscite di queste tre riviste:

Insecure Magazine 26, Giugno 2010: segnalo un paio di articoli interessanti:

• Launch arbitrary code from Excel in a restricted environment
• Hacking under the radar

Hakin9 6, Luglio 2010: di questa rivista segnalo

• Hijacking SSL: SSLStrip on Windows
• GPS Tracking with mobile phone

Infine l’ultima arrivata:
HITB 3, Luglio 2010, si presenta con un succoso articolo

• A Brief Overview on Satellite Hacking

Insomma, di roba da leggere ce n’è parecchia. Naturalmente per chi conosce almeno un pochino l’inglese. Per gli affezionati all’idioma italico consiglio di attendere il 30 Luglio, giorno dell’uscita del nuovo numero di UnderAttHack, la rivista dell’hacking underground italiano.

Segnala presso:

Il numero 5 di Hakin9 è il secondo numero gratuito della rivista, distribuita solamente online in formato Pdf. Vediamo quali sono gli articoli più interessanti:

Is DDOS Still a Threat?: Sono ancora una minaccia gli attacchi DDOS? Questa è la domanda che si pone l’editorialista, e la risposta la troverete soltanto leggendo.

Jailbreaking and Penetrating with the iPhone: come effettuare il jailbreak e usare Nmap e Metasploit con il celebre smartphone Apple.

Pulling Kernel Forensic with Python: utilizzare Python per estrarre informazioni dal kernel di Linux durante un’investigazione informatica.

More Secure PHP Server  Side Source Encryption: qui si parla di tattiche di code obfuscation per proteggere i sorgenti PHP.

Securing Public Services Using Tariq: mai sentito parlare di “port knocking”? Tariq implementa questa singolare tecnica di difesa, basata su crittografia e steganografia.

Questi e altri interessanti contenuti su Hakin9 n.5.

Segnala presso: