Il Disinformatico: Shodan

Visualizzazione post con etichetta Shodan. Mostra tutti i post

2023/03/27

I distributori di sigarette italiani attaccati con messaggi pro-Cospito sono trovabili su Shodan. E ora anche su Google

Durante il fine settimana appena concluso numerosi distributori di sigarette in Italia sono stati violati da intrusi informatici che hanno alterato i prezzi di vendita delle sigarette, portandoli a 10 centesimi, e hanno sostituito le immagini visualizzate sugli schermi di questi distributori con immagini in favore di Alfredo Cospito, un detenuto in sciopero della fame da oltre cinque mesi per protesta contro il regime di carcere duro al quale è sottoposto.

Trovate tutti i dettagli della vicenda su Il Post. Il presidente nazionale di AssoTabaccai ha dichiarato al Corriere che gli risulta che una delle aziende interessate, la Laservideo, “utilizzi un sistema per cui è il server centrale a inviare informazioni ai distributori. Quindi hackerando il server centrale, è stato possibile entrare contemporaneamente in tutti i distributori”.

Non entro nel merito politico della notizia: segnalo soltanto che i distributori di sigarette della Laservideo sono facilissimi da trovare online tramite un comune motore di ricerca per l’Internet delle Cose come Shodan, nel quale è sufficiente immettere la richiesta

http.html:'laservideo' country:IT

per ottenere un elenco degli indirizzi IP e delle porte aperte di questi distributori. Non perdo neanche tempo a mascherare i dati, visto che reperirli è assolutamente banale:

Risulta insomma che questi distributori non sono protetti dietro una VPN, ma sono accessibili direttamente su Internet e con un normale browser tramite la porta 90:

Questo è il contenuto pubblicamente accessibile della pagina di login di uno di questi distributori:

Ovviamente non ho modo di sapere se le password di questi distributori sono robuste e diversificate, come richiederebbe la sicurezza informatica più elementare, ma sulla base di questi fatti sospetto che la tesi dell’hackeraggio del “server centrale” non sia quella più plausibile.

---

2023/03/28 9:20. Dai commenti emerge che i distributori sono reperibili anche semplicemente in Google, una volta che si sa qual è la stringa di testo che li caratterizza: è sufficiente cercare “Inserire Nome Utente e Password forniti da Laservideo”.

Inoltre Laservideo ha dichiarato pubblicamente che “Contrariamente a quanto riportato da molti organi di stampa, l'attacco hacker di sabato 25 marzo non ha riguardato i server centrali Laservideo ma ha colpito puntualmente solo una parte minoritaria dei distributori, agendo direttamente attraverso la connessione delle singole tabaccherie.”

2021/02/12

Florida, impianto di depurazione delle acque “hackerato” con rischio di avvelenamento di massa. Sicurezza sottozero

C’è parecchio clamore intorno alla notizia che aggressori informatici ignoti sono entrati via Internet nei sistemi di controllo di un impianto di trattamento delle acque a Oldsmar, in Florida, e ne hanno alterato i valori delle sostanze chimiche immesse per la depurazione, con conseguente rischio di avvelenamento della popolazione servita dall’impianto (circa 15.000 residenti).

Il Tampa Bay Times riferisce che uno degli addetti all’impianto stava monitorando i sistemi quando ha visto che il cursore del mouse si stava muovendo da solo e che qualcuno lo stava usando per cambiare la quantità di idrossido di sodio (soda caustica) da 100 parti per milione a 11.100 parti per milione. L’operatore ha subito ripristinato il valore originale. La vicenda viene ora investigata dall’FBI oltre che dalle autorità locali.

A prima vista sembrerebbe un attacco molto sofisticato, opera di terroristi o altri grandi malfattori. Ma leggendo il resoconto ufficiale delle autorità emerge un quadro ben diverso: gli intrusi sono entrati facilmente perché la gestione remota dell’impianto usava un semplice TeamViewer che permetteva di accedere a tutti i computer usando la stessa password di accesso remoto, e i computer erano collegati direttamente a Internet senza alcuna protezione (firewall o simili). Inoltre tutti i computer erano connessi al sistema SCADA di gestione dell’impianto e usavano ancora Windows 7.

Come se non bastasse, l’impianto aveva smesso di usare TeamViewer sei mesi fa, ma l’aveva lasciato installato.

Insomma, un disastro annunciato. Probabilmente si tratta di un ex dipendente oppure di qualcuno che pigramente ha usato i motori di ricerca che trovano gli impianti lasciati aperti online, come Shodan, e fra i tanti honeypot (trappole) ha trovato quel bersaglio assurdamente facile.

Se avete impianti di qualunque tipo comandabili da remoto, pensate alla sicurezza; aggiornateli, usate password robuste e differenti, e non lasciate tutto spalancato sperando che nessuno vi trovi. Esistono motori di ricerca appositi: vi troveranno. Non fate come quell’impianto idrico italiano che è rimasto aperto e visibile per mesi nonostante le mie segnalazioni.

Fonti aggiuntive: The Verge, AP.

2018/12/21

La rivolta delle stampanti a sostegno di PewDiePie

Credit: BBC.

In tutto il mondo le stampanti stanno stampando strani messaggi che invitano ad iscriversi al canale Youtube di Pewdiepie e “sistemare le vostre stampanti”. È probabilmente l’incursione informatica più bizzarra dell’anno: ne trovate esempi qui e qui.

Un mese fa, qualcuno che si fa chiamare TheHackerGiraffe ha preso momentaneamente il controllo di circa 50.000 stampanti di varie marche in varie parti del mondo per creare dei volantini a favore dello Youtuber Pewdiepie.

L’incursore ha spiegato alla BBC, in forma anonima, che stava cercando di attirare l’attenzione su una vulnerabilità di alcune stampanti che permette di prenderne il controllo da remoto e può portare al loro danneggiamento permanente.

@grandayy @DolanDark @pewdiepie ok so basically a printer at a friend's workplace got hacked. not complaining pic.twitter.com/DcNGrKlbXj
— apex | IG @bobbywainwright (@apex2504) 27 novembre 2018

The Verge spiega che il firmware di queste stampanti è infatti scrivibile da remoto, ma supporta soltanto un numero limitato di cicli di scrittura. Questo vuol dire che un aggressore può rendere inservibile le stampanti in questione semplicemente mandando loro un numero elevato di comandi di scrittura del firmware, se queste stampanti sono accessibili via Internet tramite la porta 9100.

Secondo l’hacker contattato dalla BBC, esiste anche il rischio che qualcuno intercetti documenti sensibili o li modifichi mentre vengono stampati, sfruttando questa stessa vulnerabilità.

So this just randomly printed on one of our work printers. I think @pewdiepie has hacked our systems. pic.twitter.com/wSG9cprJ4s
— Dr.Moxmo (@Dr_Moxmo) 29 novembre 2018

La soluzione alla falla è semplice: impostare la propria rete informatica in modo che le stampanti non siano accessibili direttamente da Internet.

Se vi state chiedendo chi mai possa essere così imprudente da rendere accessibile via Internet la propria stampante, basta una ricerca apposita su Shodan per trovarne almeno 308 in Svizzera e circa 1500 in Italia (i link richiedono un account su Shodan).

2017/10/20

Mr. Robot, finalmente realismo nell’hacking televisivo

Ultimo aggiornamento: 2017/10/23 8:00.

È iniziata da poco la terza stagione della serie televisiva Mr. Robot, che è oggetto di culto fra gli informatici non solo per la trama, tutta incentrata sull’hacking e sulle sue conseguenze negative e positive, ma anche per una caratteristica che la differenzia completamente da quasi tutte le altre serie TV che parlano d’informatica: il realismo estremo delle tecniche di hacking utilizzate nel racconto.

Senza fare spoiler, nella prima puntata di questa terza stagione viene mostrata la ricerca di un bersaglio informatico usando un motore di ricerca apposito, Shodan, che non è un’invenzione della serie TV ma esiste realmente (presso Shodan.io) e consente davvero di effettuare questo genere di scansione di tutta Internet. Basta creare un account gratuito e si ha accesso, per esempio, alle telecamere di sorveglianza incautamente connesse a Internet senza protezioni. Shodan non fa altro che collezionare i loro annunci pubblici di presenza in Rete.

Ma si può fare anche di più: digitando title:"hacked by" nella casella di ricerca di Shodan si possono elencare i server web che sono stati violati negli ultimi giorni (Shodan indica lo stato di un sito com’era al momento della sua scansione; nel frattempo il sito può essere stato ripristinato) se l’intruso vi ha lasciato la propria “firma”, che di solito è appunto "hacked by" seguito dal nome di battaglia.

Questi elenchi possono anche essere filtrati per nazione aggiungendo country: seguito dalla sigla della nazione che interessa, messa fra virgolette e senza spazi dopo il due punti (per esempio country:"IT", come mostrato qui sotto).

In Mr. Robot, Shodan viene usato per esempio per cercare i server della malefica multinazionale di fantasia che sta al centro della trama della serie, la E-Corp, che gli hacker protagonisti chiamano Evil Corp. Il bello è che non solo il comando usato dal protagonista (org:"Evil Corp" product:"Apache Tomcat") usa una sintassi reale e consente di trovare davvero i server di una qualsiasi organizzazione, ma funziona davvero e porta realmente ai siti web della E-Corp.

I produttori della serie, infatti, hanno creato dei siti web funzionanti che fingono di essere la E-Corp. Se non volete tribolare con Shodan, potete trovarne uno (con tanto di schermata di login per “dipendenti” presso www.e-corp-usa.com.

Se volete scoprire le mille altre chicche informatiche della prima puntata della terza stagione, leggete questo articolo di Geekwire. Buon divertimento.

Cerca nel blog