Il Disinformatico: Javascript

Visualizzazione post con etichetta Javascript. Mostra tutti i post

2017/02/24

Magie in Javascript minimalista

Ultimo aggiornamento: 2017/02/24 23:30.

JavaScript è un linguaggio potente e abbastanza facile da usare per ottenere molti effetti pratici per pagine interattive. Ma è difficile immaginarlo come linguaggio per creare arte. Difficile, perlomeno, finché non si visitano siti come Dwitter.net.

Dwitter.net è semplicemente una collezione di Javascript che creano animazioni o forme geometriche complesse, e già così è affascinante. Ma ha una regola particolare: tutti gli effetti devono essere ottenuti usando non più di 140 caratteri di JavaScript.

Nonostante questo limite, i risultati sono a dir poco ipnotici: in 140 caratteri c’è persino una versione di Life, il gioco di “vita sintetica” o automa cellulare che imita i comportamenti delle forme viventi, oltre ad animazioni geometriche colorate di tutti i generi che rispecchiano proprietà matematiche di tutti i generi, frattali compresi.

Come se non bastasse, Dwitter.net presenta il codice JavaScript usato per ciascuna animazione in una forma modificabile in modo interattivo: in pratica potete cambiare i valori e le istruzioni di un’animazione e vedere in tempo reale che effetto hanno le vostre modifiche. Un modo semplice e accattivante per avvicinare e avvicinarsi a questo linguaggio così fondamentale per il funzionamento di Internet.

2016/12/09

Malware nelle pubblicità su siti popolarissimi: un adblocker diventa un antivirus

Usare un adblocker è sempre controverso, perché bloccare le pubblicità significa togliere ai siti la loro fonte di sussistenza. Ma il mondo delle pubblicità online ha grossi problemi, perché viene usato spesso per veicolare attacchi informatici che colpiscono anche i visitatori di siti irreprensibili, e quindi usare un adblocker finisce per essere una forma di protezione informatica.

Le pubblicità, infatti, vengono inserite nei siti usando codice fornito dalle agenzie pubblicitarie, che a loro volta ricevono questo codice dagli inserzionisti. E fra gli inserzionisti si sono intrufolati anche i criminali informatici, che infilano i propri attacchi nel codice pubblicitario. Le agenzie filtrano e controllano, ma le tecniche dei criminali sono davvero ingegnose e superano i controlli.

La società di sicurezza informatica Eset segnala infatti che nel corso degli ultimi due mesi milioni di persone che visitano siti mainstream sono stati colpiti da un attacco nel quale il codice ostile è nascosto addirittura nei parametri che regolano la trasparenza dei pixel di un’immagine legata alle campagne di app chiamate Browser Defence o Broxu.

In sintesi, il Javascript contenuto nel codice dell’inserzione di per sé è pulito, ma scarica un’immagine-banner che contiene variazioni invisibili dei pixel che il Javascript interpreta per estrarne appunto il codice ostile. Questo sistema elude i filtri di sicurezza e infetta gli utenti che usano versioni non aggiornate di Internet Explorer e di Adobe Flash.

Fonti: Malwarebytes, Ars Technica.

2012/04/04

Apple e Java, pronto l’aggiornamento turafalle

Apple rilascia l'aggiornamento di Java contro il malware scavalcapassword

L'articolo è stato aggiornato dopo la pubblicazione iniziale.

Tramite il menu Aggiornamento Software di OS X potete scaricare e installare l'aggiornamento di Java che risolve la vulnerabilità che consentiva al malware di installarsi scavalcando la password di amministratore sui computer con OS X, come descritto in questo mio articolo.

L'aggiornamento pesa circa 67 megabyte. Maggiori info di Apple sono disponibili qui e qui. Questo aggiornamento è solo per OS X Lion (10.7); chi usa Snow Leopard (10.6) può scaricare l'aggiornamento da qui oppure usare il menu Aggiornamento Software.

Resta quindi comunque valido, a mio avviso, il principio che quello che non c'è non si può rompere, per cui se non usate Java nel vostro browser o lo usate solo per un numero ristretto di siti vi conviene comunque tenere Java disabilitato e attivarlo soltanto quando necessario e quando lo decidete voi.

Grazie a Mikko Hypponen per la segnalazione e a tutti quelli che mi hanno segnalato la disponibilità dell'aggiornamento anche per OS X 10.6.

Questo articolo vi arriva grazie alla gentile donazione di “curr.giovanni”.

2012/04/03

Malware per Mac, meglio disabilitare Java

Questo articolo vi arriva grazie alla gentile donazione di “sylb”. L'articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2012/04/04.

Macworld segnala una variante del trojan Flashback che si può installare in un Mac anche senza chiedere la password di amministratore, sfruttando una vulnerabilità di Java, come descritto qui da F-Secure. Per infettarsi può essere sufficiente visitare un sito ostile, che fa partire un finto aggiornamento di OS X o di Flash.

Apple non ha ancora rilasciato l'aggiornamento che risolve il problema, e questo non è l'unico attacco per Mac che si basa sulle falle di Java, come ho raccontato qui per la RSI qualche giorno fa. In attesa dell'aggiornamento che corregga la falla è quindi consigliabile disabilitare Java (da non confondere con Javascript) nei browser.

In Safari basta andare nelle Preferenze, scegliere la scheda Sicurezza e togliere il segno di spunta dalla casella Abilita Java.
Per Firefox si va nel menu Strumenti, si sceglie Add-ons (Componenti aggiuntivi) e poi Plugin, cliccando su Disattiva accanto alla voce Java Plug-in.
Per Chrome, mi risulta che Java sia disabilitato per default e venga chiesto il consenso dell'utente se il sito visitato richiede Java, per cui non occorre fare nulla se non usare la testa.

Più in generale, visto che Java si sta rivelando un colabrodo in termini di sicurezza e che i siti che lo usano sono pochi, vale la pena di valutare se è il caso di rimuovere Java del tutto oppure tenerlo sempre disabilitato, attivandolo solo se strettamente necessario e solo sui siti affidabili. Le istruzioni per rimuovere Java da OS X Lion sono qui. Per verificare se per caso un Mac è già infettato si può eseguire questa serie di istruzioni di test.

Questa storia dovrebbe chiarire, una volta per tutte, che anche i computer Apple sono vulnerabili semplicemente visitando un sito se non si prendono le precauzioni opportune. Fra l'altro, vale la pena di ricordare che è buona norma usare un antivirus anche per Mac, come per esempio quello gratuito di Sophos.

2012/04/04

Apple ha rilasciato un aggiornamento: i dettagli sono in questo mio articolo.

2010/01/15

Acrobat da aggiornare

Falla Acrobat turata, aggiornatevi alla versione 9.3 o 8.2

Questo articolo vi arriva grazie alle gentili donazioni di "paume" e "g.andr****".

La falla Javascript critica in Adobe Reader e Acrobat segnalata prima di Natale è stata sistemata: permetteva di mandare in tilt il software e offriva un appiglio per intrusioni informatiche. Non era un rischio teorico, visto che era già sfruttata da alcuni criminali informatici.

Adobe ha pubblicato una nuova versione dei due programmi che corregge la magagna: è la 9.3 per Windows, Mac e Unix. E' disponibile anche un aggiornamento per chi è rimasto affezionato alla versione 8: è la versione 8.2.

Tutti questi aggiornamenti sono scaricabili seguendo i link forniti da Adobe. Resta comunque valido il consiglio di non attivare Javascript in Acrobat se non è strettamente indispensabile.

2009/12/18

Acrobat e Reader, falla Javascript

Usate Acrobat o Reader? Meglio disabilitare Javascript in entrambi

Leggi un PDF e t'infetti. Sembra impossibile, visto che il PDF è un formato di sola lettura, eppure nei programmi Acrobat 9.2 e Reader 9.2 di Adobe, che gestiscono questo formato, c'è una falla critica, classificata come CVE-2009-4324 e segnalata qui da Adobe, che viene già sfruttata dai criminali online per installare software ostile sui computer delle vittime inconsapevoli del rischio.

La falla riguarda le versioni Windows, Macintosh e Unix del popolarissimo Reader gratuito e le versioni Windows e Mac di Acrobat (sì, sono a rischio anche i Mac). La correzione non sarà pronta prima del 12 gennaio prossimo, secondo quanto annunciato da Adobe.

Fino a quella data, se usate questi programmi e non volete essere esposti a questa vulnerabilità dovete disattivare le loro opzioni Javascript andando nelle loro preferenze, scegliendo la categoria Javascript e cliccando sulla casella di abilitazione del Javascript in modo da far sparire il suo segno di spunta.

Più in generale, è molto raro aver bisogno di usare Javascript dentro un documento PDF, per cui vi conviene tenere comunque Javascript disattivato nel Reader. Se per qualche ragione abbastanza insolita avete bisogno di tenerlo attivato ma volete comunque ridurre i rischi dovuti alla falla, potete usare i consigli tecnici provvisori di Adobe.

Cerca nel blog

2017/02/24

Magie in Javascript minimalista

2016/12/09

Malware nelle pubblicità su siti popolarissimi: un adblocker diventa un antivirus

2012/04/04

Apple e Java, pronto l’aggiornamento turafalle

Apple rilascia l'aggiornamento di Java contro il malware scavalcapassword

2012/04/03

Malware per Mac, meglio disabilitare Java

2012/04/04

2010/01/15

Acrobat da aggiornare

Falla Acrobat turata, aggiornatevi alla versione 9.3 o 8.2

2009/12/18

Acrobat e Reader, falla Javascript

Usate Acrobat o Reader? Meglio disabilitare Javascript in entrambi