Il Disinformatico

2016/08/12

Videojacking: come rubare password a uno smartphone usando un caricabatteria

Durante il recente convegno di sicurezza DEF CON di Las Vegas sono state presentate numerose tecniche di attacco informatico davvero creative e originali che è meglio conoscere per evitarle. Una di queste tecniche consente di rubare password, leggere mail e sorvegliare la navigazione semplicemente offrendo alla vittima di caricare la batteria del suo smartphone.

Il trucco, chiamato videojacking, funziona così: la vittima si trova in un luogo pubblico, a corto di carica (come capita spesso con gli smartphone di oggi), e vede che c’è un punto di ricarica per telefonini cortesemente offerto, come capita per esempio in alcuni aeroporti, sui treni e sugli aerei. Collega il telefonino e comincia a usarlo. Che male ci potrà mai essere? È solo una ricarica di energia elettrica.

In realtà i connettori degli smartphone non portano soltanto energia elettrica per la carica della batteria: veicolano anche segnali. Così si catturano questi segnali, e in particolare il segnale video in uscita dal telefonino (quello che consente di mostrare su un monitor lo schermo dello smartphone), in modo da vedere e registrare tutto quello che compare sullo schermo, comprese le password digitate, riconoscibili dal fatto che i singoli tasti toccati per digitare la password si animano quando vengono usati. Questo consente anche di catturare i PIN di blocco.

La particolarità di questa tecnica è che al momento è invisibile per la vittima: sia gli smartphone Android, sia gli iPhone non avvisano l’utente quando viene collegato un connettore che non solo fornisce corrente elettrica ma riceve anche i segnali video dallo schermo.

I ricercatori Brian Markus di Aries Security e i suoi colleghi Joseph Mlodzianowski e Robert Rowley hanno dimostrato il metodo d’intercettazione improvvisando un apparato dimostrativo con un monitor HDMI di seconda mano, un video splitter e un piccolo registratore video USB. Costo complessivo: circa 220 dollari a parte il monitor.

Questa tecnica è una variante del juice jacking, che fino a qualche tempo fa consentiva di rubare dati agli smartphone che venivano incautamente collegati a punti di ricarica sconosciuti; il problema è stato risolto nelle versioni aggiornate dei dispositivi e dei loro sistemi operativi.

Morale della storia: se avete uno smartphone, pensateci bene prima di collegarlo a un dispositivo di ricarica che non sia vostro o comunque fidato, e portate se possibile il vostro o perlomeno usate uno USB condom che blocchi tutti i collegamenti tranne quelli di alimentazione elettrica. No, non sto scherzando: esiste davvero e si chiama proprio così.

Fonte: Krebs on Security.

Arrestato truffatore online responsabile di oltre 60 milioni di dollari di raggiri

Di fronte alle notizie di tecniche d’attacco sempre più sofisticate è facile avere la sensazione di essere inermi e che le autorità non facciano nulla, ma in realtà questi malviventi non sempre la fanno franca. L’Interpol e la Commissione sui Crimini Economici e Finanziari della Nigeria segnalano l’arresto di “Mike”, un quarantenne nigeriano a capo di una rete criminale internazionale che aveva messo a segno truffe per oltre 60 milioni di dollari ai danni di centinaia di vittime. Una di queste vittime era stata imbrogliata al punto da inviare 15,4 milioni di dollari ai truffatori.

Le tecniche di truffa usate dalla banda (circa 40 persone sparse fra Nigeria, Malesia e Sud Africa) erano ben collaudate: non solo la fattura leggermente alterata e la creazione di falsi ordini di pagamento provenienti dagli indirizzi di mail dai dirigenti aziendali, ma anche truffe sentimentali. I bersagli erano principalmente in Australia, Canada, India, Malesia, Romania, Sud Africa, Thailandia e Stati Uniti. Il denaro sottratto veniva convogliato su conti correnti di complici in Cina, Europa e Stati Uniti.

L’arresto, secondo le autorità nigeriane, è un segnale chiaro che la Nigeria non può essere considerato un porto sicuro per questi criminali. Gli esperti consigliano di attivare l’autenticazione a due fattori (o verifica in due passaggi) sugli indirizzi di mail e di verificare gli ordini di pagamento usando un canale diverso da Internet: una telefonata alla persona che avrebbe inviato l’ordine, per esempio.

Da parte mia aggiungo un’altra raccomandazione: attenzione alle offerte di lavoro che vi propongono di fare l’intermediario finanziario semplicemente stando al computer un certo numero di ore al giorno per ricevere e inoltrare bonifici di denaro. Il denaro che ricevereste sul conto rischia di essere il frutto di una truffa online, per cui voi risultereste come complici.

"Wire-wire", tecnica di truffa sofisticata e in aumento

La creatività e la perseveranza dei truffatori via Internet non conoscono limiti: ad aprile scorso l’FBI ha pubblicato un avviso per mettere in guardia le aziende contro una particolare tecnica di truffa che si sta rivelando particolarmente redditizia per i malviventi ed è in rapido aumento (+270% da gennaio 2015): si chiama “wire-wire” o “BEC” (business e-mail compromise).

Funziona in questo modo: i truffatori si procurano gli indirizzi di mail dei dipendenti delle aziende-bersaglio tramite fonti pubblicamente disponibili. Poi infettano uno o più computer dell’azienda in modo da avere accesso alla mail. Leggendo la posta, identificano con pazienza gli indirizzi di mail dei fornitori usati dall’azienda e poi creano un indirizzo di mail molto simile a quello di un fornitore (per esempio pagamenti@rossini-ascensori.com al posto di pagamenti@rossiniascensori.com).

Quando l’azienda attaccata invia un ordine via mail al fornitore, i truffatori leggono il messaggio e lo lasciano arrivare a destinazione, così il fornitore invia una fattura, che viene intercettata e bloccata. Al suo posto i truffatori mandano, dall’indirizzo di mail imitato, una versione leggermente modificata della fattura, nella quale cambia soltanto il conto corrente sul quale effettuare il pagamento (modificare un documento PDF è molto semplice).

La vittima cade facilmente nella trappola perché la fattura è un documento che si aspetta di ricevere e proviene (apparentemente) da un fornitore conosciuto, per cui effettua il bonifico di pagamento, il cui importo finisce nelle mani dei truffatori.

Se la vittima non si accorge che l’indirizzo del mittente è leggermente diverso e non nota che le coordinate bancarie sono differenti, i truffatori incassano con una sola mail decine di migliaia di franchi o euro o dollari (l’FBI parla di importi compresi fra 25.000 e 75.000 dollari per volta).

Sapere dell’esistenza di questo genere di truffa è il primo passo verso la sua prevenzione: molti responsabili dei pagamenti nelle aziende piccole e grandi non immaginano che dei criminali possano essere così persistenti e pazienti.

Non sempre le cose vanno bene per questi ladri digitali, comunque: di recente una banda di oltre 30 truffatori che operava dalla Nigeria in tutto il mondo è stata smascherata perché si è fatta a sua volta infettare da un malware che ha consentito ai ricercatori di un’azienda di sicurezza informatica, la SecureWorks, di sorvegliare il loro traffico e documentarne in dettaglio i reati, che stavano fruttando circa 3 milioni di dollari l’anno.

2016/08/10

Il Delirio del Giorno: “se armstrong sulla luna sarebbe stato avrebbe giurato sulla bibbia”

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete incoraggiarmi a scrivere ancora (anche con un microabbonamento).

ma non avete ancora capito ,suvvia siamo sinceri con tutti noi stessi ,se armstrong sulla luna sarebbe stato avrebbe giurato sulla bibbia ,in cambio d 5000 dollari da donare a chi voleva xè è scappato,è evidente non sono mai andati ,figuriamoci nel 1969 ,scusate e le fasce di van allen!!!!!!!.smettetela di dire stupidaggini ,siete ancora cosi piccoli da credere che rintintin era bravo e gli indiani erano cattivi ecco la verita !!!! sono come le torri gemelle ,ho pearl harbor suvvia svegliatevi e fate un esame di coscenza ,non date retta a piero angela e suo figlio , prima di parlare devono avere le prove e no dire cazzate.

Dossena Santino, nel mio blog Complotti Lunari. Commento inviato per la pubblicazione e trascritto qui testualmente. Propongo una colletta per comprargli una tastiera nuova, visto che quella che usa ha il tasto delle maiuscole rotto.

La Luna a 262 megapixel. Nel 1971. Venite a conoscere l’uomo che ha fatto questa foto

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete incoraggiarmi a scrivere ancora (anche con un microabbonamento). Ultimo aggiornamento: 2016/08/10 21:30.

Il cratere più grande, a sinistra, ha un diametro di 50 chilometri.

Questa è la Luna e probabilmente è anche il vostro prossimo sfondo per il computer. Cliccate pure sulla foto per ingrandirla un po’ e ammiratene i dettagli. Io sono affascinato in particolare dalle montagne che si stagliano contro il cielo nerissimo e che spiccano sulla curvatura così marcata dell’orizzonte: un fenomeno impossibile sulla Terra, dove l’atmosfera che ci consente di vivere offusca questo stacco. I due grandi crateri sono Aristillus (in alto) e Autolycus (in basso) e misurano rispettivamente 50 e 40 chilometri di diametro; le montagne sulla destra sono il complesso del Monti Caucasici lunari.

Potete usare questa foto come sfondo anche se avete un megamonitor 4K, perché è solo un dettaglio di un’immagine ben più ampia che è disponibile presso il sito della Arizona State University a ben 16.193x16.193 pixel: arrotondando, sono 262 megapixel.

Mica male, come risoluzione, direte voi: ora considerate che questa foto risale a 45 anni fa. Fu scattata durante la missione Apollo 15 usando una speciale fotocamera da ricognizione, la Metric Camera, montata a bordo del veicolo spaziale. I nativi digitali magari non se ne rendono conto, ma prima del digitale, quando si usava la pellicola fotografica a grana fine e di grande formato, si potevano già scattare immagini eccezionali come questa. La fotografia chimica era un’arte sofisticata e matura.

Chicca nella chicca, in questa foto della Luna ci sono due persone: l’immagine fu infatti scattata mentre Dave Scott e Jim Irwin, due dei tre astronauti della missione, erano sulla superficie lunare, proprio nella zona inquadrata nella foto, vicino alla Rima Hadley, che è quel canale tortuoso in basso sulla sinistra, prodotto (si ipotizza) da antichissimi flussi di lava (Britannica; Spudis e Swann, USGS; NASA). Per la precisione, Scott e Irwin erano nella zona cerchiata qui sotto, ma loro e il loro veicolo erano troppo piccoli per essere visibili in questa immagine, presa da circa cento chilometri di distanza (per darvi un’idea della scala, il canale tortuoso è largo circa 1300 metri):

Se volete saperne di più sulla storia di queste foto, c’è il blog Apollo 15 Timeline, che racconta l’intera missione e include un articolo dedicato specificamente a queste immagini. E se volete conoscere l’astronauta Al Worden, che scattò queste fotografie 45 anni fa, venite a incontrarlo il 14 e 15 ottobre allo Sheraton Malpensa per la cena di gala e la conferenza che terrà.

2016/08/05

Cosa guardano in TV gli informatici? Mr. Robot

Una delle serie TV più popolari fra gli informatici in questo periodo è Mr. Robot, non solo per la sua trama interamente basata sulle vicende di un gruppo di hacker coinvolti in un dramma informatico che cambia letteralmente l’economia del mondo intero ma anche (e soprattutto) per il realismo e la cura dei dettagli.

Quest’attenzione quasi ossessiva per l’autenticità e la frequente inclusione di chicche nascoste (easter egg) hanno scatenato la passione di molti appassionati ed esperti, che analizzano ogni fotogramma e ogni riga delle schermate di codice mostrate in ogni puntata, scoprendo messaggi nascosti (come questo) e siti Web realmente esistenti che estendono e arricchiscono gli eventi della serie.

Il blog Naked Security di Sophos, per esempio, pubblica recensioni tecniche di ciascuna puntata, confermando la plausibilità dei metodi di attacco e mostrati e degli strumenti utilizzati.

Una delle chicche più notevoli è nella quinta puntata della seconda stagione: non è sullo schermo, ma è annidata nell’audio della puntata. A un certo punto si ode un breve fruscio incoerente, al quale è facile non fare caso: ma in realtà si tratta di un’immagine trasmessa in forma codificata: questa.

Ci sono anche apparizioni di informatici illustri, come per esempio Gregg Housh, ex membro di Anonymous nella realtà, che fa la comparsa nella seconda puntata della seconda stagione. Non perdetevi l’apposito sito ufficiale che contiene (quasi) tutte le chicche nascoste di ciascuna puntata.

Sì, le chiavette USB lasciate in giro come esca funzionano

È un espediente usato spesso nelle trame dei film e telefilm quando si vuole mostrare un tentativo di intrusione informatica: lasciare nelle vicinanze dell’azienda o della persona presa di mira delle chiavette USB che facciano da esca e poi attendere che il bersaglio le trovi e, mosso da curiosità, le infili in un computer, in modo che il malware contenuto nelle chiavette possa infettarlo e poi rubare dati o compiere altre nefandezze.

La tecnica è stata mostrata, per esempio, in una puntata della prima stagione di Mr. Robot, telefilm-culto fra gli informatici per il realismo delle modalità d’intrusione digitale che mostra. Ma questa storia delle chiavette è davvero credibile? La gente è davvero così curiosa e ingenua?

Purtroppo sì: pochi giorni fa, al convegno statunitense BlackHat, Elie Bursztein di Google ha presentato i risultati di un esperimento nel quale quasi 300 chiavette USB sono state lasciate in giro nel campus della University of Illinois Urbana-Champaign. Il 98% delle chiavette è stato raccolto (la prima solo sei minuti dopo il piazzamento) e il 45% è stato non solo inserito in un computer connesso a Internet ma sfogliato cliccando sui suoi file.

Le chiavette disseminate sono state etichettate con nomi diversi (“esami”, “confidenziale”, con chiavi e indirizzo del proprietario, oppure senza alcuna indicazione) per vedere quali nomi erano più allettanti. La buona notizia è che le chiavette che recavano le coordinate del proprietario sono state quelle meno aperte.

Alle cavie dell’esperimento è andata bene, perché sulle chiavette c’era solo un innocuo sondaggio tracciante, ma Bursztein ha mostrato come sarebbe stato possibile camuffare come chiavetta USB un emulatore di tastiera che poteva prendere il controllo del computer. Mai fidarsi, insomma, delle chiavette trovate in giro, neanche se hanno l’aria di contenere informazioni golose.

Fonte aggiuntiva: Tripwire.

iPhone smarrito? Attenzione alle false notifiche di ritrovamento

Le funzioni di recupero dei telefonini smarriti o rubati sono molto pratiche, ma i criminali informatici le stanno sfruttando per creare trappole davvero notevoli. Joonas Kiminki su Hackernoon ne segnala una che può ingannare molto facilmente perché gioca sulle emozioni.

Joonas era in vacanza a Torino quando gli hanno rubato l’iPhone lasciato in auto. Così ha attivato Trova il mio iPhone, segnando il telefonino come smarrito, in modo da ricevere una mail di avviso se il telefonino tornava online.

Undici giorni dopo ha ricevuto un SMS e una mail di notifica: telefonino trovato. Entusiasta ed emozionato, ha cliccato sul link fornito nella mail, ha raggiunto il sito di Trova il mio iPhone e ha iniziato a digitare le proprie credenziali. Poi, però, si è accorto che si trattava di un sito falso, che imitava quello autentico in tutto e per tutto a parte due elementi importanti ma facili da dimenticare per l’emozione: la sessione non era cifrata (niente lucchetto nella casella dell’indirizzo) e il nome del sito non sembrava uno di quelli solitamente usati da Apple. Joonas si è fermato a un passo dalla trappola.

Il telefonino era bloccato, quindi come hanno fatto i truffatori a trovarne il proprietario? Probabilmente hanno usato la funzione Cartella medica, che consente di accedere ai contatti d’emergenza anche quando il telefonino è bloccato, e hanno cercato il nome su Google, trovando il sito di Joonas Kiminki (aiutati anche dal suo nome piuttosto raro).

Perché l’hanno fatto? Joonas spiega che non è possibile attivare un iPhone se è collegato a un account iCloud, per cui se il ladro vuole attivarlo deve scollegarlo da iCloud, per cui contatta il derubato e si fa dare con un trucco come questo le credenziali di accesso ad iCloud, in modo da scollegarlo e renderlo rivendibile. Ciliegina sulla torta, ruba anche l’identità della vittima.

Morale della storia: non lasciate in auto oggetti di valore, ovviamente, ma soprattutto fate attenzione, in caso di furto del telefonino, ai messaggi che vi avvisano del suo ritrovamento: spesso sono realizzati in modo molto professionale, perché la rivendita di smartphone rubati è un’industria illegale ma remunerativa. Già che ci siete, attivate un backup dei dati che tenete sul dispositivo e mettete una password sulla schermata di accesso.

Facebook filtrerà i titoli attiraclic

Una buona notizia sul fronte della lotta allo spam pseudogiornalistico: Facebook ha annunciato che filtrerà e scarterà dal newsfeed (il flusso di notizie ricevuto da ciascun utente del social network) i post che hanno titoli comunemente usati nei messaggi di finta informazione e di spam, concepiti per attirare clic (e introiti pubblicitari) senza alcun reale contenuto informativo.

Per esempio, dice Facebook, verrà punito chi usa titoli sensazionalisti come “Quando lei ha guardato sotto i cuscini del proprio divano e ha visto QUESTO... Sono rimasto SCIOCCATO”, “Mette l’aglio nelle scarpe prima di andare a dormire, quello che succede poi è incredibile” oppure “Cane abbaia al fattorino, la sua reazione è impagabile” (gli esempi sono quelli forniti da Facebook).

Titoli come questi “omettono intenzionalmente informazioni essenziali o ingannano le persone, obbligandole a cliccare per trovare la risposta”. Verranno messi in lista nera anche i siti che abitualmente usano titoli attiraclic.

Il filtro verrà aggiornato costantemente e sarà basato su decine di migliaia di campioni delle frasi più comunemente usate nei titoli sensazionalistici, come “Non indovinerete mai chi...” oppure “Il segreto per trovare voli a basso costo!” o “Sarete scioccati quando vedrete com’è cambiata quest’attrice!”. In pratica Facebook applicherà ai titoli delle notizie gli stessi criteri dei filtri antispam usati da tempo per la mail. Giornalisti e pseudogiornalisti, adeguatevi.

Telegram “violato”, le precauzioni da prendere

Ha fatto scalpore la notizia, pubblicata da Reuters, che dei ricercatori informatici (Collin Anderson e Claudio Guarnieri) hanno denunciato la violazione di alcuni account della popolare app di messaggistica cifrata Telegram appartenenti ad attivisti politici iraniani e sono riusciti a identificare i numeri di telefono di circa 15 milioni di utenti Telegram del paese. L’annuncio ha creato dubbi sull’effettiva riservatezza delle comunicazioni effettuate con quest’app.

Le violazioni sono avvenute sfruttando il fatto che Telegram utilizza gli SMS per abilitare nuovi dispositivi all’uso di un account. Se questi SMS vengono intercettati, per esempio tramite l’operatore della rete cellulare, un intruso può aggiungere un nuovo dispositivo a un account e quindi ricevere i messaggi scambiati dall’utente di quell’account e leggere le cronologie delle chat. Questo significa che Telegram è vulnerabile nei paesi nei quali gli operatori telefonici collaborano strettamente con i governi.

Secondo i responsabili di Telegram, tuttavia, la vulnerabilità è risolvibile evitando di usare gli SMS di verifica e usando al loro posto una password robusta e una casella di mail ben protetta, ossia la verifica in due passaggi introdotta da Telegram l’anno scorso.

L’identificazione di massa degli utenti, invece, è stata liquidata da Telegram come un non problema, perché “sono stati raccolti soltanto dati pubblicamente disponibili” e non sono stati violati gli account. Ma in realtà sapere chi usa Telegram, e saperlo in modo massiccio come in questo caso, è comunque un problema di sicurezza per gli utenti.

Una catalogazione di massa degli utenti Telegram di un paese consente infatti ai governanti di sapere chi sente il bisogno di comunicare in modo segreto. Come mai lo fa? Cos’ha da nascondere? In molti paesi il solo fatto di usare app che fanno cifratura è considerato sospetto. Avendo i numeri di telefonino degli utenti Telegram, un governo può non solo identificare gli utenti, ma sapere dove abitano, chi chiamano e dove si trovano. In caso di manifestazione in piazza, per esempio, un governo può usare la rete cellulare per sapere chi ha partecipato e quali dei partecipanti usano Telegram e quindi sono più sospetti.

Come sempre, insomma, si può sapere molto di una persona anche senza intercettare il contenuto delle sue comunicazioni ma sfruttando soltanto i metadati che le descrivono: con chi ha comunicato, a che ora, per quanto tempo, e dove si trovavano gli interlocutori. È meglio tenerlo ben presente prima di fidarsi ciecamente delle promesse di sicurezza offerte dalle app di messaggistica.

Fonti: Sophos, @pwnallthethings.

Cerca nel blog

2016/08/12

2016/08/10

2016/08/05