È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate presso www.rsi.ch/ildisinformatico (link diretto) e qui sotto.

I podcast del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano i testi e i link alle fonti di questa puntata, sono qui sotto.

• Il malware FluBot non può più fare danni, Europol l’ha bloccato
• Occhio ai documenti Word, una falla di Windows consente di usarli per attacchi informatici
• Alexa prega con te, ma solo se la paghi: occhio agli acquisti vocali

Questo articolo è disponibile anche in versione podcast.

Con tutti questi malware in giro, c’è quasi da dire le preghiere ogni volta che si sta per aprire un allegato. Il guaio è che in informatica anche la preghiera può nascondere un raggiro.

Lo sa bene Patricia Collinson, una devota ottantasettenne che vive a Hastings, nel Regno Unito, e si è trovata involontariamente al centro di un inganno informatico decisamente insolito. La figlia le ha regalato un assistente vocale, un altoparlante Alexa di Amazon, e la signora ha iniziato a usarlo con entusiasmo, soprattutto quando ha scoperto che poteva chiedere ad Alexa, semplicemente parlando, di recitare una preghiera con lei, specificamente l’Ave Maria.

Quasi tutte le mattine la signora Collinson si sedeva in poltrona e parlava ad Alexa come se fosse una persona, dicendole “Buongiorno Alexa, puoi recitare per favore l’Ave Maria?”, e Alexa eseguiva prontamente la richiesta.

Ma l’entusiasmo della signora è passato ben presto quando si è accorta, grazie alla figlia, che la solerte Alexa recitava l’Ave Maria solo per soldi. Infatti la signora, senza rendersene conto, si era abbonata a un servizio a pagamento semplicemente parlando ad Alexa.

La figlia, alla quale era intestato l’account di Alexa, se ne è accorta quando ha ricevuto una mail dalla ditta statunitense Catholic Prayers che la informava dell’attivazione di un abbonamento a pagamento sull’Alexa che lei aveva regalato alla madre. Due sterline al mese, quindi non certo un salasso, ma restava il problema che la signora Collinson aveva attivato un contratto di addebito permanente a un servizio semplicemente con la voce, senza nessuna delle normali conferme visive o cartacee che esistono negli acquisti normali.

Questa situazione potenzialmente ingannevole è stata confermata da Amazon al figlio della signora Collinson, che l’ha documentata per il giornale britannico The Guardian dove lavora: si possono fare acquisti a voce, ha confermato Amazon, “dicendo di sì a un messaggio di offerta di un prodotto, generato quando un cliente richiede direttamente il prodotto o quando il cliente risponde positivamente a un suggerimento proattivo all’interno della skill”. Le skill sono, in sostanza, l’equivalente vocale delle app. 

[nel podcast qui c’è l’audio di Alexa che offre di acquistare a voce, tratto da Voice Technology di Alessio Pomaro]

La ditta Catholic Prayers, contattata, ha ipotizzato che la signora non si sia resa conto che Alexa la stava avvisando che il servizio di preghiera era a pagamento e abbia risposto di sì a questo avviso. La ditta, fra l’altro, dice di avere circa 10.000 utenti al mese. Viene da chiedersi se esistono davvero diecimila persone consapevolmente disposte a pagare due sterline al mese per farsi dire da un altoparlante una preghiera che possono sentire gratis (per esempio tramite l’assistente vocale di Google) o se si tratta almeno in parte di persone che sono cadute nello stesso equivoco della signora Collinson.

Dato che questi assistenti vocali vengono regalati sempre più spesso a persone che non hanno competenze informatiche e non sanno cosa sia una skill o che si possano generare degli addebiti semplicemente parlando, è importante che chi fa questi regali sia ben consapevole di queste funzioni, per evitare addebiti indesiderati, e sappia come disabilitarle.

Per impedire acquisti accidentali fatti a voce con un dispositivo Alexa si può entrare nell’account che lo gestisce e selezionare, nelle impostazioni, la sezione Acquisti tramite voce. Qui si può scegliere se disattivarla completamente oppure se proteggerla con un codice segreto di quattro cifre che dovrà essere detto ad Alexa per confermare l’intenzione di acquisto. In questo modo, solo chi conosce questo codice potrà fare acquisti. Ovviamente, se il codice viene detto in presenza di altre persone non sarà più segreto.

Viene da chiedersi quanti utenti di questi assistenti vocali siano a conoscenza di queste funzioni di acquisto automatico e sappiano come impostarle correttamente. Nel frattempo, Amazon segnala con entusiasmo sulle proprie pagine promozionali che ci sono sviluppatori che hanno guadagnato 25.000 dollari in soli sei mesi vendendo agli utenti Alexa la funzione che consente all’assistente vocale di dire “Buona notte” e una frase di conforto. E lasciando da parte un momento la questione degli addebiti non intenzionali, fa tristezza pensare che ci siano persone così sole da essere disposte a pagare per farsi dire una preghiera o la buonanotte da una macchina.

Ultimo aggiornamento: 2022/06/02 9:00.

Morto un malware se ne fa un altro, si potrebbe dire: si è appena concluso felicemente il problema di Flubot e già siamo alle prese con un nuovo aggressore informatico, che stavolta colpisce gli utenti di Microsoft Word e Windows tramite documenti Word infettanti.

Lo fa sfruttando una vulnerabilità, presente in tutte le versioni recenti di Office e di Windows, che sorprendentemente riesce ad agire anche se sono state disabilitate le macro, che sono un vettore abituale di attacco, e anche se il documento Word non viene aperto ma soltanto visualizzato da un’anteprima in Esplora file.

Una volta avviato l’attacco, l’aggressore può prendere il controllo sostanzialmente completo del computer della vittima, per esempio installando programmi o guardando, modificando o cancellando dati a suo piacimento. Un bel guaio, insomma.

Microsoft non ha ancora diffuso un aggiornamento di sicurezza che corregga il problema, e la falla viene già sfruttata attivamente dai criminali informatici, ma i principali antivirus riconoscono già i documenti Word infettanti e quindi proteggono abbastanza bene gli utenti.

La vulnerabilità è stata soprannominata Follina dal ricercatore di sicurezza Kevin Beaumont; un nome strano, visto che Follina è una località italiana in provincia di Treviso. Ma non c’è alcun intento di accusare i follinesi di essere artefici di attacchi informatici: Beaumont ha semplicemente visto che uno dei primi esemplari di documento Word infetto si chiamava 05-2022-0438.doc e il significato della prima parte del nome gli pareva ovvio (“maggio 2022”) ma non riusciva a spiegarsi lo 0438. Ha notato che 0438 era il prefisso telefonico di Follina, e così lo ha scelto come nome facilmente ricordabile per questa vulnerabilità, che altrimenti sarebbe identificata formalmente dall’assai meno memorabile sigla tecnica CVE-2022-30190. Gli informatici sono fatti così.

La vulnerabilità viene sfruttata almeno da aprile scorso, quando sono stati segnalati a Microsoft dei documenti Word, costruiti appositamente per utilizzarla, che fingevano di essere richieste di interviste dell’agenzia di notizie russa Sputnik. Ma ci sono anche altri esempi di attacco informatico che usano questa falla, per esempio ad opera di gruppi criminali cinesi e per rubare password. 

Una volta scoperta, insomma, questa vulnerabilità ha cominciato a circolare fra i malviventi informatici, che stanno usando i pretesti emotivi più disparati per incuriosire le vittime e indurle a scaricare e visualizzare il documento Word infettante. Uno dei primi casi di Follina, per esempio, si presentava come una denuncia di un’infedeltà di coppia, corredata da foto compromettenti e da una promessa di vendetta e ricatto: una tentazione morbosamente irresistibile per molti utenti. 

In attesa che Microsoft distribuisca un aggiornamento correttivo, sono state pubblicate delle istruzioni tecniche per disabilitare le funzioni di Windows che rendono possibile la falla. In sostanza si tratta di modificare una chiave del Registro di Windows che riguarda il servizio Microsoft Support Diagnostic Tool (MSDT), come descritto per esempio da Paul Ducklin di Sophos, cosa che però molti utenti non sono in grado di fare. Per cui se usate Windows vi conviene aggiornare il vostro antivirus, fare molta attenzione ai documenti Word inattesi, specialmente se hanno contenuti che possono stuzzicare la curiosità, e aspettare con impazienza l’aggiornamento di Microsoft. 

Per i più coraggiosi, le istruzioni per disabilitare temporaneamente la chiave del Registro sono queste:

1. Eseguire il Prompt dei comandi come Amministratore.
2. Fare una copia di backup della chiave, dando il comando reg export HKEY_CLASSES_ROOT\ms-msdt nome_file (dove nome_file è il nome del file nel quale salvate il backup)
   
3. Eseguire il comando reg delete HKEY_CLASSES_ROOT\ms-msdt /f.

Fonti aggiuntive: Huntress, Cisa.gov, Graham Cluley, Ars Technica, The Register, BleepingComputer.

Una volta tanto dal mondo del crimine informatico arriva una buona notizia: FluBot, uno dei più diffusi malware per smartphone Android, usato per rubare password e accedere a conti bancari, è stato bloccato da un intervento coordinato delle forze di polizia di undici paesi.

Lo ha annunciato il primo giugno Europol, con un comunicato stampa che non entra nei dettagli tecnici ma si limita a dire che a maggio scorso la polizia olandese ha interrotto l’operatività dell’infrastruttura informatica che gestiva questo malware. Il risultato è che le tante persone che hanno il telefonino infettato da FluBot non corrono più alcun pericolo.

La storia di FluBot è una delle più spettacolari degli ultimi tempi in campo informatico. Avvistato inizialmente a dicembre del 2020, questo malware si era propagato rapidamente nel corso del 2021, infettando un numero molto elevato di smartphone Android, con effetti particolarmente pesanti in Spagna e Finlandia. 

La sua tecnica di diffusione era classica, come avevo raccontato in questo podcast a ottobre 2021 con un aggiornamento proprio la settimana scorsa: la vittima riceveva un SMS che fingeva di essere un avviso di tracciamento di un pacco postale o un messaggio vocale e conteneva un link da cliccare per installare un’app che, stando all’SMS, era necessaria per tracciare la spedizione o ascoltare il messaggio vocale.

Ma se la vittima cliccava sul link e installava la presunta app, in realtà installava FluBot, che prendeva il controllo dello smartphone per rubare credenziali bancarie, intercettare i codici delle autenticazioni a due fattori e disabilitare le normali protezioni dei telefonini Android. 

FluBot accedeva poi alla rubrica dei contatti del telefonino infetto e inviava di nascosto a tutti i contatti degli SMS ingannevoli dello stesso genere per tentare di infettare altri smartphone. Questo sistema molto semplice gli consentiva di propagarsi con estrema rapidità e a insaputa delle vittime.

Il danno complessivo causato da FluBot è difficile da quantificare, ma la polizia olandese dichiara di aver scollegato diecimila vittime dalla rete di FluBot e di aver impedito l’invio di oltre sei milioni e mezzo di SMS che avrebbero tentato di infettare altrettanti smartphone.

Europol nota che sono state convolte le forze di polizia di Australia, Belgio, Finlandia, Ungheria, Irlanda, Romania, Svezia, Spagna, Stati Uniti, Olanda e Svizzera. La polizia spagnola, a marzo 2021, aveva compiuto quattro arresti di persone sospettate di essere elementi chiave dell’organizzazione criminale che gestiva FluBot, ma dopo una breve pausa il malware aveva ripreso a diffondersi ancora più rapidamente. Ora le forze dell’ordine hanno preso il controllo dell’infrastruttura di FluBot e quindi non c’è più rischio di nuove propagazioni.

Resta però il problema dei tanti utenti infetti, che probabilmente nemmeno sanno di essere stati colpiti da FluBot perché questo malware agisce senza produrre effetti visibili. Se avete cliccato sul link in un SMS che vi chiedeva di installare un’app e ora avete sullo smartphone un’app che non si apre quando la toccate e produce un messaggio di errore se tentate di disinstallarla, potrebbe trattarsi di FluBot, spiega Europol, che ha un consiglio piuttosto drastico per chi sospetta di essere stato infettato: fare un ripristino di fabbrica del telefonino, che sicuramente rimuoverà l’eventuale malware ma comporterà la perdita di tutti i dati non salvati su supporti esterni. Maggiori dettagli su come procedere sono disponibili in questo tutorial video e in queste istruzioni dell’operatore telefonico svizzero Salt.

Fonti aggiuntive: HelpNetSecurity, BleepingComputer, AFP.

Da venerdì 3 giugno fino a domenica 5 giugno si tiene a Padova il CicapFest 2022, una serie di incontri, chiacchierate e conferenze su scienza, misteri, illusionismo, robotica e molto altro. I relatori sono tantissimi (trovate il programma qui) e ho l’onore di essere uno di loro. Gli eventi del CicapFest sono tutti a ingresso gratuito, tranne due serate e alcuni workshop. Per saperne di più, visitate il sito del CicapFest.

Venerdì 3 giugno alle 10 sarò nell’Aula Magna di Palazzo del Bo per tenere la conferenza Al sicuro sul Web. Sicurezza informatica e privacy digitale quotidiana. La conferenza, presentata da Agnese Sonato, sarà trasmessa in streaming qui, sulla pagina Facebook del CICAPFest e sul canale YouTube del CICAP.

Sabato 4 giugno alle 10.45, presso il cortile di Palazzo Moroni, modererò Nicolò Bagnasco e Mattia Barbarossa per l’incontro Ascensori per la luna e armi laser: quando la scienza rimane fantascienza.

Domenica 5 giugno alle 11, presso l’Aula E di Palazzo del Bo, avrò il piacere di presentare Luigi Garlaschelli, Alessandra Carrer e l'Associazione culturale Steampunk Nordest in Fantascienza Steampunk, scienziati "pazzi" e scienza moderna. Aspettatevi di tutto, compresa una mia... veste inedita.

Sempre domenica 5 giugno, ma alle 15:15, a Palazzo Santo Stefano, sarò in compagnia di Paolo Cortesi e Stefano Marcellini per parlare di Viaggi nel tempo: tra fantasia e realtà, con la moderazione di Giuliana Galati.

Per il resto del tempo, sarò in giro per il CicapFest a godermi le conferenze e gli eventi. Se ci siete e mi incrociate, fatemi un fischio!

Ultimo aggiornamento: 2022/06/01 16:45.

Il 30 maggio scorso Matteo Salvini ha pubblicato un tweet nel quale ha scritto “Parlare di sesso, di coito e penetrazione a bimbi delle scuole elementari? Dal 70% di mamme e papà, me compreso, un secco NO.” Nel tweet ha incluso uno screenshot, senza link, di un articolo che titola “Educazione sessuale alla scuola primaria, 7 genitori su 10 contrari”.

Ho risposto al suo tweet: “Non si preoccupi. Lavoro nelle scuole. Insegno informatica. Vedo cos'hanno nei loro telefoni e cosa si scambiano. Alle elementari hanno già imparato tutta la meccanica della sessualità da YouPorn (nel caso migliore) e nulla dei sentimenti. Sono i risultati del "secco NO".”

Chiarisco che con “vedo cos’hanno nei loro telefoni” non intendo dire che faccio intrusioni o perquisizioni informatiche, come alcuni hanno pensato: molto più banalmente, sono i bambini stessi a raccontare, a me e ai colleghi informatici che vanno nelle scuole a fare lezioni di sensibilizzazione alla sicurezza e alla privacy digitale, le cose che hanno visto. Non solo pornografia estrema, ma anche violenze, omicidi, suicidi e torture. Faccio questo lavoro nelle scuole da oltre quindici anni, spesso in collaborazione con le forze di polizia, e ho visto e sentito davvero di tutto.

I commenti su Twitter che sono scaturiti da questo scambio di tweet sono stati molto interessanti: molti hanno negato che esista la questione o addirittura che i bambini abbiano a disposizione telefonini (a scuola magari è così, ma a casa e nel tempo libero ce li hanno eccome, secondo i dati più recenti, che indicano che il 58% dei bambini tra 6 e 10 anni ha uno smartphone). Molti altri invece hanno sottolineato che l’esposizione a contenuti scioccanti avviene sempre più precocemente e che l’unica strategia fattibile è l’informazione preventiva, affinché l’unica fonte di “conoscenze” sulla sessualità e di modelli di comportamento non sia Pornhub.

In tutta la discussione, però, pochi hanno notato due aspetti fondamentali, e questo ha generato disinformazione.

Il primo aspetto è che il “sondaggio” citato da Salvini non è attendibile: lo dice la fonte stessa del sondaggio. La fonte (non citata da Salvini) è questo articolo della testata giornalistica Tecnicadellascuola.it (copia permanente), che dice molto chiaramente che “Il sondaggio non ha carattere di scientificità: i risultati derivano da conteggi automatici”. Non risulta che vi sia stata aluna selezione rappresentativa dei partecipanti e alcuna verifica dei loro ruoli o delle loro identità. 

Parallelamente, lo stesso articolo descrive un sondaggio, effettuato dalla testata su Instagram, che ha prodotto risultati opposti (71% favorevoli e 29% contrari). Neppure questo ha carattere di scientificità, ma è interessante notare che Salvini non lo menziona.

Il secondo aspetto è che l’educazione sessuale è proposta solo in quinta, ossia a undici anni: un’età alla quale le curiosità sulla sessualità e le possibilità di accesso a Internet sono estremamente diffuse. Molti invece hanno immaginato lezioni di “sesso, di coito e penetrazione” (per usare la descrizione grossolanamente errata e fuorviante di Salvini) rivolte ai bambini di prima elementare. Non è così: lo dice proprio l’articolo citato da Salvini, scrivendo che si tratta della “possibilità che, come da indicazioni nazionali per il curricolo, a partire dal quinto di scuola primaria si trattino in classe i temi legati alla sessualità e alla riproduzione”.

Specificamente, le “indicazioni nazionali” (linkate erroneamente nell’articolo di Tecnicadellascuola.it ma reperibili su Archive.org) parlano, a pagina 68, di “Obiettivi di apprendimento al termine della classe quinta della scuola primaria” ed elencano, fra le varie voci, questa: “Avere cura della propria salute anche dal punto di vista alimentare e motorio. Acquisire le prime informazioni sulla riproduzione e la sessualità.”

In sintesi: Salvini si sta appoggiando a un sondaggio che si autodichiara inaffidabile e non esistono proposte istituzionali di “parlare di sesso, di coito e penetrazione” a bimbi di prima elementare. In quinta, a undici anni, non si è più nell’infanzia. Gli ormoni cominciano a farsi sentire, e la curiosità galoppa. Siete stati undicenni anche voi. Provate a ricordarvi com’eravate davvero.

Segnalo inoltre un bell’articolo dell’amico Salvo di Grazia, che racconta la sua esperienza di medico chiamato a fare una lezione di educazione sessuale a scuola. In questo campo, noi adulti abbiamo molto da imparare dai bambini.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico) o altri metodi.

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate presso www.rsi.ch/ildisinformatico (link diretto) e qui sotto.

I podcast del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano i testi e i link alle fonti di questa puntata, sono qui sotto.

• Come fanno i truffatori a rubare soldi dai conti correnti? Ce lo spiega FluBot
• Videogiocare rende più intelligenti, secondo uno studio; stare sui social no
• Apple, il malware funziona anche a smartphone spento
• Aggiornate Zoom, fino alla versione 5.10.0 basta un messaggio in chat per infettare PC, Mac e telefoni

La società di sicurezza informatica Bitdefender ha pubblicato un’analisi di una truffa informatica bancaria che spiega bene una delle perplessità ricorrenti di chi, per sua fortuna, non ha mai subìto un reato di questo genere: come fa la gente a cascarci? In particolare, come è possibile che i truffatori riescano a convincere le vittime a installare volontariamente i programmi che poi saccheggeranno i loro conti correnti?

L’analisi parte da un attacco specifico in corso in Europa, che si basa sull’installazione di un’app truffaldina, un trojan bancario denominato FluBot, sui telefonini delle vittime. Se la vittima non installa l’app, la truffa non può scattare.

I criminali che gestiscono FluBot usano una tecnica particolare, chiamata smishing: iniziano mandando un SMS che annuncia che è disponibile un messaggio vocale riguardante l’invio di un pacco. L’SMS offre un link cliccabile per ascoltare il messaggio. 

Ma se la vittima clicca sul link, le viene proposto di installare un’apposita app di gestione dei messaggi vocali, e quest’app non proviene dallo store ufficiale Android, ossia Google Play. Questo dovrebbe mettere in allarme la vittima, ma spesso prevalgono la curiosità di scoprire cosa c’è nel presunto messaggio vocale e l’ignoranza del rischio.

Sui telefonini Android, oltretutto, è sufficiente accettare l’installazione da fonti sconosciute per dare il via libera all’app. La fonte è in realtà la banda di truffatori, e l’app ha un’icona che sembra indicare che serva per ascoltare messaggi vocali, ma non è così: serve per rubare informazioni bancarie.

I truffatori scelgono di mascherare l’app truffaldina spacciandola per un’app per messaggi vocali per un motivo ben preciso: l’app chiederà alla vittima il permesso di accedere alla rubrica telefonica e ad altre informazioni sensibili, e la vittima probabilmente ci crederà perché pensa che sia un’app di messaggistica e quindi è logico che debba accedere alla rubrica.

Se la vittima concede i permessi, l’app maligna raccoglierà l’elenco dei contatti e manderà SMS a tutti i contatti della vittima, cercando nuovi bersagli da attaccare, intanto che acquisisce le informazioni sulle carte di credito, le credenziali di accesso e altri dati ancora e usa i privilegi di accessibilità per rendere difficile disinstallarla.

In altre parole, i criminali creano una situazione di curiosità nell’utente e fanno leva su quella, e sulla scarsa conoscenza della sicurezza informatica, per convincere la vittima a installare il trojan.

Bitdefender nota che l’attacco colpisce sia gli utenti Android, sia gli utenti Apple; ma nel caso degli iPhone non c’è un meccanismo per proporre all’utente l’installazione dell’app truffaldina, per cui scatta il Piano B dei criminali: se il telefonino attaccato è un iPhone, gli SMS lo porteranno a una serie di siti che tenteranno di rubare credenziali e cercheranno di attivare abbonamenti-truffa.

La soluzione più semplice a questo tipo di attacco è non cliccare mai sui link negli SMS e non installare mai app di provenienza incerta; e se si usa un telefonino Android, dotarlo di un antivirus.

Uno studio pubblicato su Scientific Reports di Nature.com da un gruppo di neuroscienziati e psicologi olandesi e svedesi si è occupato dell’effetto dei media digitali sull’intelligenza dei bambini e ha ottenuto risultati piuttosto sorprendenti che non mancheranno di scatenare discussioni in famiglia.

I ricercatori hanno analizzato quasi 10.000 bambini statunitensi di età iniziale compresa fra 9 e 10 anni, tenendo conto delle differenze genetiche e del contesto socioeconomico e valutandone le capacità due anni più tardi. Il tempo passato davanti a uno schermo da questi bambini, ossia dalle quattro alle sei ore giornaliere di media, è stato suddiviso in tre attività: guardare video su Internet o su un canale televisivo, fare videogiochi e socializzare online.

Secondo i risultati dei ricercatori, socializzare tramite i social network non ha effetti positivi o negativi sull’intelligenza, mentre guardare video ha un effetto positivo e lo stesso vale per i videogiochi, che producono il massimo effetto. In particolare, più tempo si passa a videogiocare, più aumenta l’impatto positivo sull’intelligenza, e non ci sono differenze in questo effetto fra ragazzi e ragazze.

Questo studio si aggiunge agli altri che sembrano confermare questo effetto favorevole del videogioco sull’intelligenza, ma la ricerca è ancora agli inizi e uno studio non fa primavera, per cui è presto per cantare vittoria e dire che videogiocare ti fa diventare più intelligente; ma nel frattempo abbiamo una giustificazione in più per passare un po’ di tempo a giocare. L’importante è che il tempo non diventi eccessivo: lo studio di Scientific Reports non va interpretato nel senso di ”più videogioco più divento intelligente, se videogioco tantissimo diventerò un genio”. Sarebbe troppo bello per essere vero.

A volte le notizie false si avverano: un finto allarme informatico che risale a vent’anni fa è diventato realtà. Se avete un iPhone, questa storia vi riguarda.

Il primo aprile 2002 fu diffuso su Internet l’allarme per il virus informatico Power-Off o pHiSh, che aveva “un'efficacia notevolissima, in quanto riscrive direttamente il BIOS, rendendo quindi inaccessibili e inservibili i dischi rigidi, il mouse e la tastiera (i dati sono recuperabili soltanto smontando immediatamente i dischi rigidi e installandoli su un altro computer non infetto), ma soprattutto perché agisce prima dell'avvio del sistema operativo, ossia proprio quando l'antivirus non può fare nulla per fermarlo.”

L’allarme forniva molti altri dettagli sul funzionamento di questo virus, facendo notare che era particolarmente pericoloso perché agiva quando il computer era spento: “anche l'antivirus più moderno e aggiornato è attivo soltanto quando il sistema operativo è in funzione (e in realtà si avvia alcuni secondi dopo che è stato avviato il sistema operativo stesso, lasciando quindi una finestra di vulnerabilità anche verso altri virus meno sofisticati).”

Ma l’antivirus non può fare nulla prima che il sistema operativo si avvii e soprattutto non può' fare nulla quando il computer è spento. E qui, spiegava l’allarme, “entra in funzione pHiSh. Molti dei computer moderni, infatti, non si "spengono" mai completamente. Quando ad esempio dite a Windows di arrestare il sistema, alcune parti del computer rimangono sotto tensione. Il filo telefonico del modem rimane alimentato (come potete verificare con un tester), i condensatori e i compensatori di Heisenberg presenti nel computer mantengono un residuo di corrente e soprattutto il BIOS rimane alimentato da una batteria interna. Il computer è insomma in "sonno", ma non è del tutto inattivo, ed è a questo punto che agisce il nuovo virus.”

Questo avviso era un pesce d’aprile, scritto in un’epoca nella quale i pesci d’aprile non erano stati ancora travolti dalle fake news e dalle notizie vere ma surreali alle quali ci ha abituato la cronaca di questi ultimi anni, e si sa esattamente quando è stato creato e da chi. L’autore sono io, e trovate il testo integrale dell’allarme qui su Attivissimo.net.

Gli indizi del fatto che si trattasse di un pesce d’aprile erano tanti: a parte l’assurdità tecnica, la citazione dei “compensatori di Heisenberg” (che non esistono ma sono un’invenzione degli autori della serie di fantascienza Star Trek), il fatto che il nome del virus fosse pHiSh, ossia “pesce” in inglese, e la data di pubblicazione erano segnali abbastanza evidenti. Ma molti ci cascarono, vent’anni fa. A mia discolpa preciso che l’allarme suggeriva di rimediare al problema cambiando un’impostazione di Microsoft Outlook in un modo che migliorava davvero la sicurezza degli utenti.

Ma gli anni passano, la tecnologia corre, e quello che sembrava palesemente assurdo vent’anni fa oggi è reale. Un gruppo di ricercatori all’Università Tecnica di Darmstadt, in Germania, ha infatti pubblicato un articolo tecnico nel quale spiega che quando si “spegne” un iPhone, in realtà lo smartphone non si spegne completamente, e che questo fatto può essere sfruttato per far funzionare un malware che resta attivo anche quando un iPhone sembra spento.

In sostanza, anche quando si dà il comando di spegnimento a un iPhone, alcuni circuiti integrati dentro il telefono continuano a funzionare in modalità a bassissimo consumo per circa 24 ore, per esempio per tenere attive le funzioni che consentono di ritrovare gli iPhone smarriti o rubati. Uno di questi circuiti integrati, quello che gestisce le comunicazioni Bluetooth, non ha nessun meccanismo di verifica del software (firmware) che esegue: non c’è firma digitale e non c’è neppure una cifratura. I ricercatori hanno approfittato di queste carenze per creare un software ostile che consente all’aggressore di tracciare la localizzazione del telefono e di eseguire funzioni quando il telefono è formalmente spento.

La tecnica di attacco descritta dai ricercatori di Darmstadt è abbastanza difficile da mettere in pratica, perché richiede accesso fisico al telefonino e richiede che lo smartphone sia stato sottoposto a jailbreak, ma il fatto che i componenti elettronici restano attivi quando l’utente crede che il telefonino sia spento apre la porta a scenari piuttosto preoccupanti. Se venisse scoperta una falla che consente di attaccare questi componenti tramite segnali radio, come è già accaduto per i dispositivi Android nel 2019, sarebbe un guaio notevole, perché rilevare un’infezione nel firmware di un componente elettronico è molto più difficile che rilevarla in iOS o Android, e correggere un difetto di sicurezza in un componente elettronico è praticamente impossibile.

Purtroppo l’idea di lasciare attivi alcuni componenti negli smartphone anche quando sono “spenti” è abbastanza diffusa, perché questo consente di usare il telefono per pagare o per aprire la serratura dell’auto anche quando la batteria è quasi totalmente scarica; ma crea una situazione per nulla intuitiva, nella quale l’utente crede che il proprio telefonino sia spento quando in realtà è ancora acceso. E l’informatica è già abbastanza complicata senza aggiungervi anche questi inganni terminologici.

Fonte aggiuntiva: Ars Technica.