Se giocate a Minecraft su computer Windows o Linux e siete appassionati di modding, ossia dell’aggiunta o modifica di funzioni, oggetti, ambienti e altro ancora al gioco di base, vi conviene fare più attenzione del solito a cosa scaricate e da dove lo scaricate.

Ai primi di giugno, infatti, due fra le più importanti piattaforme di distribuzione di queste modifiche, o mod, sono state attaccate, violando vari account, e molte mod e molti plugin per Minecraft disponibili tramite queste piattaforme sono stati infettati e distribuiti agli utenti.

Il risultato è che chi ha scaricato modpack molto popolari, come Better Minecraft, che ha oltre quattro milioni e mezzo di download, può trovarsi con il computer infetto da un malware che ruba le credenziali di accesso salvate nei browser e quelle degli account Minecraft, Microsoft e Discord e si insedia permanentemente sul computer, aggiornandosi man mano.

Le piattaforme di modding prese di mira sono CurseForge e Bukkit, e l’elenco di mod e modpack infettate è piuttosto lungo (lo trovate per esempio su BleepingComputer.com) e non si sa se sia completo. 

Per evitare panico inutile, soprattutto fra i giocatori più giovani e i loro genitori, è importante sottolineare che il problema riguarda esclusivamente chi ha installato modifiche a Minecraft e usa computer Windows o Linux. Chi gioca semplicemente a Minecraft di base e usa altri dispositivi non basati su Windows o Linux non è coinvolto in questo problema.

Ma per chi ama il modding e usa questi sistemi operativi il danno è molto serio, anche in termini di fiducia. Gli aggressori informatici hanno infatti preso di mira siti attendibili, come appunto CurseForge e Bukkit, e li hanno indotti a distribuire il loro malware, denominato Fractureiser. Per prima cosa hanno preso il controllo di alcuni account su queste piattaforme e hanno inserito del codice ostile nei plugin e nelle mod offerte da questi account. Poi questi software modificati e infetti sono stati adottati automaticamente da vari modpack molto popolari e quindi sono stati distribuiti automaticamente agli utenti fino al momento in cui sono intervenuti i gestori di queste piattaforme e hanno ripulito i propri sistemi.

Chi ha scaricato ed eseguito una di queste mod infette, distribuite più o meno nelle ultime tre settimane, ha probabilmente infettato il proprio computer. Fortunatamente ci sono degli script di scansione per Windows e per Linux che rilevano i sintomi di un’infezione; in alternativa è possibile controllare manualmente se il Registro di Windows è stato alterato o se ci sono altri file ostili sul computer.

I principali antivirus si stanno già aggiornando per rilevare questi sintomi, per cui se avete dubbi conviene aspettare ancora qualche ora e poi aggiornare il vostro antivirus e rifare una scansione completa.

Se purtroppo scoprite di avere il computer infetto, è consigliabile reinstallare il sistema operativo e cambiare tutte le proprie password, partendo subito da quelle dei servizi più interessanti per i criminali, ossia quelle che proteggono criptovalute, caselle di mail e conti correnti.

Maggiori dettagli tecnici sul malware Fractureiser e sulla tecnica di attacco dei criminali informatici sono disponibili sul già citato BleepingComputer e su Tripwire [anche su CurseForge, Hackmd.io, Prismlauncher.org e Github]. Una delle piattaforme colpite, CurseForge, ha inoltre pubblicato una descrizione approfondita delle varie fasi di questo attacco mirato e sofisticato e delle misure di protezione da adottare.

Questo attacco è particolarmente interessante, perché sovverte uno dei consigli di sicurezza più frequenti, ossia quello di scaricare solo software da siti attendibili, e lo usa per abbassare le difese degli utenti, perché sfrutta proprio questi siti di cui l’utente si fida. Qui le vittime non sono giocatori incauti che hanno scaricato software da siti sconosciuti e senza garanzie; sono persone che si sono rivolte a piattaforme universalmente considerate sicure.

Inoltre l’attacco prende di mira una categoria di utenti che è solitamente meno attenta di altre alla sicurezza informatica, cioè i gamer giovani e giovanissimi, che probabilmente non si aspettano di essere attaccati, specialmente da qualcosa che scaricano da un sito di ottima reputazione. Sui loro computer spesso ci sono informazioni e password non solo loro, ma anche di altri membri della famiglia, che valgono soldi per i criminali. 

Ancora una volta, insomma, la sicurezza informatica si conferma un problema che tocca tutti. Nessuno può permettersi il lusso di dire “ma chi vuoi che se la prenda con me, io non ho niente che interessi ai ladri”. È proprio su questo modo di pensare che contano quei ladri.

Da alcuni giorni, precisamente dal 9 dicembre scorso, c’è un panico informatico diffuso a proposito di Log4Shell, che secondo molti esperti è una delle falle di sicurezza più gravi di sempre e la peggiore del decennio.

Provo a fare il punto della situazione e chiarire cosa possiamo fare noi comuni mortali per evitare problemi.

In estrema sintesi, la falla consiste in questo: in molti siti e giochi online basta scrivere una particolare sequenza di caratteri che inizia con ${jndi: per mandarli in tilt o addirittura prenderne il controllo. Non serve conoscere password o altro.

Per esempio, può essere sufficiente digitare nella chat di Minecraft quella particolare sequenza di lettere e simboli per prendere il controllo dei computer degli altri utenti o di un server Minecraft oppure causare altri danni, come mostra in dettaglio l’informatico John Hammond.

Un altro esempio: nei giorni scorsi se si cambiava il nome del proprio iPhone nelle sue impostazioni e si usava come nome quella sequenza di caratteri, era possibile far scattare questa vulnerabilità nei server di Apple. 

Fra i siti che sono stati colpiti ci sono Steam, iCloud di Apple, Microsoft, Cisco, Amazon, Twitter, Tesla, Cloudflare e tanti altri. Trovate un elenco di questi siti, con i relativi screenshot, qui su Github.

Gli esperti di sicurezza hanno già pubblicato gli aggiornamenti correttivi, e moltissime aziende li hanno installati e hanno pubblicato apposite pagine informative per i loro utenti, ma non tutti i responsabili dei siti e tutti gli utenti li hanno installati, e quindi restano ancora molte persone e organizzazioni esposte e vulnerabili.

In estrema sintesi: 

• se gestite un server esposto a Internet, installate subito gli aggiornamenti della cosiddetta libreria software di logging denominata log4j, se la usate;
• se siete utenti comuni, installate appena possibile tutti gli aggiornamenti di tutte le app che usate su qualunque dispositivo: computer, tablet, smartphone, router, stampanti, eccetera;
• in ogni caso, non fidatevi di inviti o avvisi che vi propongono di scaricare presunti “antivirus” o correzioni da siti mai visti prima: usate soltanto le normali procedure di aggiornamento;
• non fate l’errore di pensare “ma io uso Mac / Linux / Windows e quindi non sono vulnerabile”. Questa falla colpisce un po’ tutti: un elenco molto dettagliato dei software vulnerabili è su Github.  
  

Il Centro nazionale svizzero per la cibersicurezza (Ncsc.admin.ch) ha pubblicato una pagina riassuntiva, disponibile anche in italiano, e un avviso tecnico molto più dettagliato in inglese. Anche Microsoft ha un’apposita pagina informativa e la vulnerabilità è classificata formalmente con la sigla CVE-2021-44228.

Il Govcert svizzero sta contattando le organizzazioni svizzere che risultano ancora vulnerabili. È infatti possibile verificare a distanza se un sito o un server connesso a Internet non è stato aggiornato.

Gli attacchi che sfruttano questa falla e colpiscono chi non si è aggiornato sono già in corso: finora gli aggressori mettono a segno l’attacco installando sui server non aggiornati dei programmi che servono a effettuare altri attacchi (DDOS), tentare estorsioni (ransomware) o sfruttare i computer altrui per generare criptovalute. Secondo quanto scrive Microsoft, molti attacchi provengono da gruppi in Cina, Iran, Corea del Nord e Turchia.

Greynoise pubblica un quadro della situazione qui. Gli attacchi lanciati finora sono almeno 840.000.

Se vi state chiedendo come sia possibile un disastro del genere, per cui basta scrivere qualcosa in una casella di chat per attaccare un sito, la spiegazione è che Log4J è una libreria software, ossia una serie di istruzioni di programmazione, che viene usata da moltissime applicazioni, soprattutto nei computer collegati in rete. Serve a fare il cosiddetto logging, ossia a registrare tutto quello che avviene sui quei computer: per esempio quale utente ha fatto una certa cosa, quando l’ha fatta, da che dispositivo l’ha fatta, eccetera.

È una libreria libera e gratuita, per cui la possono usare tutti liberamente, e infatti la usano moltissime aziende.

Questa libreria ha un difetto: non controlla bene il contenuto dei dati che registra. Se un utente ostile fa in modo che nel log ci sia quella sequenza di caratteri che ho citato prima (per esempio la usa come nome del proprio telefonino oppure come User agent del proprio browser), Log4J riceve la sequenza e la interpreta come istruzioni da eseguire. Un errore classico e clamoroso, spiegato in dettaglio qui da Sophos.

Se volete saperne di più: LunaSec (anche qui), Minecraft.net (anche qui), Howtogeek, Ars Technica (anche qui e qui), Graham Cluley, Gizmodo, Sophos.

Fonte: Graham Cluley.

In realtà gli unici a trarne vantaggio sono i creatori di queste app ingannevoli, perché una volta installate sugli smartphone delle vittime queste app si nascondono e iniziano a far comparire sullo schermo un fiume di pubblicità, i cui incassi vanno ai truffatori. Il telefono diventa spesso inutilizzabile e difficile da ripulire. Alcune di queste app sono state installate oltre un milione di volte, e non tutte sono state rimosse da Google Play dopo le segnalazioni. 

Anche se venissero rimosse, comunque, c’è sempre il rischio che i truffatori le ripubblichino su Google Play con un altro nome.

La migliore cura è quindi la prevenzione generale: non installate app di provenienza incerta che promettono vantaggi mirabolanti. Ma se l’avete fatto, rimediate installando un buon antivirus che le trovi e le elimini.

Ti scrivo perché sono un giocatore di Minecraft da PC (ci gioco circa ogni tre giorni) e vorrei giocare sul server Hypixel perché mi alletta molto l’idea dei minigiochi (tipo bedwars, skywars, ecc).

I miei genitori però sono contrari a quest’idea e dicono che giocare online è troppo pericoloso, si può cadere in tranelli di persone malintenzionate e via dicendo.

Io non riesco a comprendere il motivo di tutta questa preoccupazione, visto che non capisco come il mio computer possa essere a rischio in un server quasi ufficiale della Mojang e come possa essere adescato se non comunico!

Perciò ti chiedo per favore se puoi dirmi se veramente c’è questo enorme pericolo, che io purtroppo non riesco ancora a vedere, e cosa potrebbe mai succedermi.

Grazie in anticipo

Cordiali saluti

hai veramente dei bravissimi fans!!
Hanno scritto veramente dei bei commenti, lunghi, interessanti, in poco tempo ma con tanti concetti all’interno. Si vede che ci tengono e si prendono il tempo ad aiutare altre persone in difficoltà.

Ho scoperto nuove cose dei server di Minecraft (per esempio il fatto delle url) che prima non sapevo neanche esistessero.

Ora ho capito concretamente quali sono i pericoli in un server di Minecraft, perché da come mi spiegavano i miei genitori sembrava che avrei preso un virus appena entrato nella lobby.

Come ogni gioco online non è completamente sicuro ma ci sono dei rischi a cui bisogna fare molta attenzione.

Ti informerò su ciò che ne pensano i miei genitori.

Grazie ancora per la tua disponibilità