Il Disinformatico

2016/08/13

Quiz: perché la Stazione Spaziale Internazionale è bruciacchiata?

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete incoraggiarmi a scrivere ancora (anche con un microabbonamento). Ultimo aggiornamento: 2016/08:14 17:00.

Guardate queste foto (autentiche, non ritoccate) delle attività extraveicolari effettuate a bordo della Stazione Spaziale Internazionale. Avete notato l’alone annerito intorno al portello di uscita e d’ingresso degli astronauti?

Come è spiegabile un fenomeno del genere nel vuoto dello spazio? C’è stato un incendio a bordo della Stazione, come accadde nel 1997 a bordo della stazione russa Mir? È successo qualcosa di grave nella cabina di decompressione e l’hanno tenuto nascosto? Quale altre spiegazioni riuscite a trovare per queste bruciature?

Ovviamente questo quiz è un gioco: non sto proponendo alcuna teoria di complotto, ma voglio mostrare quanto è facile costruire un’accusa di cospirazione credibile presentando in maniera selettiva dei fatti apparentemente anomali e quanto è invece difficile trovare la reale spiegazione dell’apparente anomalia.

In altre parole, questa è una piccola dimostrazione della Teoria della Montagna di M*rda come spiegazione della persistenza di una teoria di complotto: son capaci tutti di farla facilmente, mentre pulirla è una faticaccia e comunque la puzza rimane.

Dilettatevi a investigare nei commenti: pubblicherò la mia soluzione domani (14 agosto).

2016/08/14

Ecco la soluzione.

2016/08/12

Aggiornamenti di sicurezza Apple e Microsoft per il weekend

Il recente bollettino di sicurezza di Microsoft non lascia molta scelta: ci sono nove falle da turare, cinque delle quali sono classificate al grado più alto di pericolosità, ossia “critico”.

L’aggiornamento che le risolve è già disponibile, per cui è opportuno installarlo appena possibile: le falle, infatti, riguardano i browser Internet Explorer ed Edge, rendendo gli utenti vulnerabili ad attacchi effettuabili semplicemente convincendoli a visitare una pagina Web appositamente confezionata; toccano anche Office, con vulnerabilità sfruttabili se l’utente apre un documento Office contenente istruzioni nascoste, ricevuto per esempio come allegato.

Ci sono anche falle critiche nella gestione dei font da parte di Windows, che potrebbero consentire all’aggressore di prendere il controllo del computer, e nella gestione dei documenti PDF pubblicati sui siti Web.

La buona notizia è che nessuna di queste falle è al momento sfruttata da attacchi in corso, ma di norma questi attacchi arrivano poco dopo la pubblicazione degli aggiornamenti che le risolvono e le descrivono. La pubblicazione, infatti, consente inevitabilmente ai criminali informatici di sapere dove concentrare i propri sforzi.

Apple, intanto, ha reso disponibile iOS 9.3.4, e anche in questo caso conviene aggiornarsi appena possibile, perché l’aggiornamento risolve una falla scoperta da Team Pangu, un gruppo di informatici noto soprattutto per i suoi strumenti di jailbreak. Apple, come al solito, è reticente nei dettagli e dice solo che la falla consente a un’applicazione di “eseguire codice arbitrario con privilegi di kernel”. Traduzione: è una brutta falla che permetterebbe a un’app ostile di far danni molto gravi. Correggetela installandola nella solita maniera.

Ransomware per termostato, nuova tappa dell’Internet delle Cose

Non è la prima volta che metto in guardia contro la superficialità con la quale troppi produttori di elettrodomestici e altri apparati collegano a Internet qualunque cosa senza pensare alle implicazioni di sicurezza informatica: stavolta è il turno degli impianti di riscaldamento.

Dalla DEF CON di Las Vegas arriva infatti una dimostrazione dei ricercatori di sicurezza Andrew Tierney e Ken Munro, che hanno spiegato non solo come prendere il controllo di un termostato connesso a Internet ma anche come usarlo per chiedere un riscatto con la minaccia di far salire o scendere la temperatura di casa a livelli insopportabili: una forma di attacco molto simile a quella mostrata, guarda caso, poche settimane fa in una puntata di Mr. Robot.

I due ricercatori non hanno reso pubblico il nome del produttore del termostato vulnerabile, che hanno contattato privatamente in modo da consentirgli di preparare un aggiornamento correttivo, ma hanno spiegato la tecnica usata: il termostato, che usa Linux, non effettua alcun controllo sui file che gli vengono forniti tramite una scheda SD per consentire agli utenti di caricare impostazioni e sfondi. Non è difficile, quindi, convincere una vittima a caricare un file ostile, camuffandolo come un’immagine o un aggiornamento di sicurezza, prendendo così il controllo del dispositivo.

Il produttore del dispositivo preparerà l’aggiornamento, ma il vero problema sarà farlo arrivare a tutti gli utenti, che non sempre registrano il proprio dispositivo negli archivi del fabbricante e se lo fanno sono molto pigri nell’effettuare aggiornamenti, anche perché l’idea di dover aggiornare il software di un frigorifero, di un televisore o di un termostato non è ancora entrata nel sentire comune.

Videojacking: come rubare password a uno smartphone usando un caricabatteria

Durante il recente convegno di sicurezza DEF CON di Las Vegas sono state presentate numerose tecniche di attacco informatico davvero creative e originali che è meglio conoscere per evitarle. Una di queste tecniche consente di rubare password, leggere mail e sorvegliare la navigazione semplicemente offrendo alla vittima di caricare la batteria del suo smartphone.

Il trucco, chiamato videojacking, funziona così: la vittima si trova in un luogo pubblico, a corto di carica (come capita spesso con gli smartphone di oggi), e vede che c’è un punto di ricarica per telefonini cortesemente offerto, come capita per esempio in alcuni aeroporti, sui treni e sugli aerei. Collega il telefonino e comincia a usarlo. Che male ci potrà mai essere? È solo una ricarica di energia elettrica.

In realtà i connettori degli smartphone non portano soltanto energia elettrica per la carica della batteria: veicolano anche segnali. Così si catturano questi segnali, e in particolare il segnale video in uscita dal telefonino (quello che consente di mostrare su un monitor lo schermo dello smartphone), in modo da vedere e registrare tutto quello che compare sullo schermo, comprese le password digitate, riconoscibili dal fatto che i singoli tasti toccati per digitare la password si animano quando vengono usati. Questo consente anche di catturare i PIN di blocco.

La particolarità di questa tecnica è che al momento è invisibile per la vittima: sia gli smartphone Android, sia gli iPhone non avvisano l’utente quando viene collegato un connettore che non solo fornisce corrente elettrica ma riceve anche i segnali video dallo schermo.

I ricercatori Brian Markus di Aries Security e i suoi colleghi Joseph Mlodzianowski e Robert Rowley hanno dimostrato il metodo d’intercettazione improvvisando un apparato dimostrativo con un monitor HDMI di seconda mano, un video splitter e un piccolo registratore video USB. Costo complessivo: circa 220 dollari a parte il monitor.

Questa tecnica è una variante del juice jacking, che fino a qualche tempo fa consentiva di rubare dati agli smartphone che venivano incautamente collegati a punti di ricarica sconosciuti; il problema è stato risolto nelle versioni aggiornate dei dispositivi e dei loro sistemi operativi.

Morale della storia: se avete uno smartphone, pensateci bene prima di collegarlo a un dispositivo di ricarica che non sia vostro o comunque fidato, e portate se possibile il vostro o perlomeno usate uno USB condom che blocchi tutti i collegamenti tranne quelli di alimentazione elettrica. No, non sto scherzando: esiste davvero e si chiama proprio così.

Fonte: Krebs on Security.

Arrestato truffatore online responsabile di oltre 60 milioni di dollari di raggiri

Di fronte alle notizie di tecniche d’attacco sempre più sofisticate è facile avere la sensazione di essere inermi e che le autorità non facciano nulla, ma in realtà questi malviventi non sempre la fanno franca. L’Interpol e la Commissione sui Crimini Economici e Finanziari della Nigeria segnalano l’arresto di “Mike”, un quarantenne nigeriano a capo di una rete criminale internazionale che aveva messo a segno truffe per oltre 60 milioni di dollari ai danni di centinaia di vittime. Una di queste vittime era stata imbrogliata al punto da inviare 15,4 milioni di dollari ai truffatori.

Le tecniche di truffa usate dalla banda (circa 40 persone sparse fra Nigeria, Malesia e Sud Africa) erano ben collaudate: non solo la fattura leggermente alterata e la creazione di falsi ordini di pagamento provenienti dagli indirizzi di mail dai dirigenti aziendali, ma anche truffe sentimentali. I bersagli erano principalmente in Australia, Canada, India, Malesia, Romania, Sud Africa, Thailandia e Stati Uniti. Il denaro sottratto veniva convogliato su conti correnti di complici in Cina, Europa e Stati Uniti.

L’arresto, secondo le autorità nigeriane, è un segnale chiaro che la Nigeria non può essere considerato un porto sicuro per questi criminali. Gli esperti consigliano di attivare l’autenticazione a due fattori (o verifica in due passaggi) sugli indirizzi di mail e di verificare gli ordini di pagamento usando un canale diverso da Internet: una telefonata alla persona che avrebbe inviato l’ordine, per esempio.

Da parte mia aggiungo un’altra raccomandazione: attenzione alle offerte di lavoro che vi propongono di fare l’intermediario finanziario semplicemente stando al computer un certo numero di ore al giorno per ricevere e inoltrare bonifici di denaro. Il denaro che ricevereste sul conto rischia di essere il frutto di una truffa online, per cui voi risultereste come complici.

"Wire-wire", tecnica di truffa sofisticata e in aumento

La creatività e la perseveranza dei truffatori via Internet non conoscono limiti: ad aprile scorso l’FBI ha pubblicato un avviso per mettere in guardia le aziende contro una particolare tecnica di truffa che si sta rivelando particolarmente redditizia per i malviventi ed è in rapido aumento (+270% da gennaio 2015): si chiama “wire-wire” o “BEC” (business e-mail compromise).

Funziona in questo modo: i truffatori si procurano gli indirizzi di mail dei dipendenti delle aziende-bersaglio tramite fonti pubblicamente disponibili. Poi infettano uno o più computer dell’azienda in modo da avere accesso alla mail. Leggendo la posta, identificano con pazienza gli indirizzi di mail dei fornitori usati dall’azienda e poi creano un indirizzo di mail molto simile a quello di un fornitore (per esempio pagamenti@rossini-ascensori.com al posto di pagamenti@rossiniascensori.com).

Quando l’azienda attaccata invia un ordine via mail al fornitore, i truffatori leggono il messaggio e lo lasciano arrivare a destinazione, così il fornitore invia una fattura, che viene intercettata e bloccata. Al suo posto i truffatori mandano, dall’indirizzo di mail imitato, una versione leggermente modificata della fattura, nella quale cambia soltanto il conto corrente sul quale effettuare il pagamento (modificare un documento PDF è molto semplice).

La vittima cade facilmente nella trappola perché la fattura è un documento che si aspetta di ricevere e proviene (apparentemente) da un fornitore conosciuto, per cui effettua il bonifico di pagamento, il cui importo finisce nelle mani dei truffatori.

Se la vittima non si accorge che l’indirizzo del mittente è leggermente diverso e non nota che le coordinate bancarie sono differenti, i truffatori incassano con una sola mail decine di migliaia di franchi o euro o dollari (l’FBI parla di importi compresi fra 25.000 e 75.000 dollari per volta).

Sapere dell’esistenza di questo genere di truffa è il primo passo verso la sua prevenzione: molti responsabili dei pagamenti nelle aziende piccole e grandi non immaginano che dei criminali possano essere così persistenti e pazienti.

Non sempre le cose vanno bene per questi ladri digitali, comunque: di recente una banda di oltre 30 truffatori che operava dalla Nigeria in tutto il mondo è stata smascherata perché si è fatta a sua volta infettare da un malware che ha consentito ai ricercatori di un’azienda di sicurezza informatica, la SecureWorks, di sorvegliare il loro traffico e documentarne in dettaglio i reati, che stavano fruttando circa 3 milioni di dollari l’anno.

2016/08/10

Il Delirio del Giorno: “se armstrong sulla luna sarebbe stato avrebbe giurato sulla bibbia”

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete incoraggiarmi a scrivere ancora (anche con un microabbonamento).

ma non avete ancora capito ,suvvia siamo sinceri con tutti noi stessi ,se armstrong sulla luna sarebbe stato avrebbe giurato sulla bibbia ,in cambio d 5000 dollari da donare a chi voleva xè è scappato,è evidente non sono mai andati ,figuriamoci nel 1969 ,scusate e le fasce di van allen!!!!!!!.smettetela di dire stupidaggini ,siete ancora cosi piccoli da credere che rintintin era bravo e gli indiani erano cattivi ecco la verita !!!! sono come le torri gemelle ,ho pearl harbor suvvia svegliatevi e fate un esame di coscenza ,non date retta a piero angela e suo figlio , prima di parlare devono avere le prove e no dire cazzate.

Dossena Santino, nel mio blog Complotti Lunari. Commento inviato per la pubblicazione e trascritto qui testualmente. Propongo una colletta per comprargli una tastiera nuova, visto che quella che usa ha il tasto delle maiuscole rotto.

La Luna a 262 megapixel. Nel 1971. Venite a conoscere l’uomo che ha fatto questa foto

Il cratere più grande, a sinistra, ha un diametro di 50 chilometri.

Questa è la Luna e probabilmente è anche il vostro prossimo sfondo per il computer. Cliccate pure sulla foto per ingrandirla un po’ e ammiratene i dettagli. Io sono affascinato in particolare dalle montagne che si stagliano contro il cielo nerissimo e che spiccano sulla curvatura così marcata dell’orizzonte: un fenomeno impossibile sulla Terra, dove l’atmosfera che ci consente di vivere offusca questo stacco. I due grandi crateri sono Aristillus (in alto) e Autolycus (in basso) e misurano rispettivamente 50 e 40 chilometri di diametro; le montagne sulla destra sono il complesso del Monti Caucasici lunari.

Potete usare questa foto come sfondo anche se avete un megamonitor 4K, perché è solo un dettaglio di un’immagine ben più ampia che è disponibile presso il sito della Arizona State University a ben 16.193x16.193 pixel: arrotondando, sono 262 megapixel.

Mica male, come risoluzione, direte voi: ora considerate che questa foto risale a 45 anni fa. Fu scattata durante la missione Apollo 15 usando una speciale fotocamera da ricognizione, la Metric Camera, montata a bordo del veicolo spaziale. I nativi digitali magari non se ne rendono conto, ma prima del digitale, quando si usava la pellicola fotografica a grana fine e di grande formato, si potevano già scattare immagini eccezionali come questa. La fotografia chimica era un’arte sofisticata e matura.

Chicca nella chicca, in questa foto della Luna ci sono due persone: l’immagine fu infatti scattata mentre Dave Scott e Jim Irwin, due dei tre astronauti della missione, erano sulla superficie lunare, proprio nella zona inquadrata nella foto, vicino alla Rima Hadley, che è quel canale tortuoso in basso sulla sinistra, prodotto (si ipotizza) da antichissimi flussi di lava (Britannica; Spudis e Swann, USGS; NASA). Per la precisione, Scott e Irwin erano nella zona cerchiata qui sotto, ma loro e il loro veicolo erano troppo piccoli per essere visibili in questa immagine, presa da circa cento chilometri di distanza (per darvi un’idea della scala, il canale tortuoso è largo circa 1300 metri):

Se volete saperne di più sulla storia di queste foto, c’è il blog Apollo 15 Timeline, che racconta l’intera missione e include un articolo dedicato specificamente a queste immagini. E se volete conoscere l’astronauta Al Worden, che scattò queste fotografie 45 anni fa, venite a incontrarlo il 14 e 15 ottobre allo Sheraton Malpensa per la cena di gala e la conferenza che terrà.

2016/08/05

Cosa guardano in TV gli informatici? Mr. Robot

Una delle serie TV più popolari fra gli informatici in questo periodo è Mr. Robot, non solo per la sua trama interamente basata sulle vicende di un gruppo di hacker coinvolti in un dramma informatico che cambia letteralmente l’economia del mondo intero ma anche (e soprattutto) per il realismo e la cura dei dettagli.

Quest’attenzione quasi ossessiva per l’autenticità e la frequente inclusione di chicche nascoste (easter egg) hanno scatenato la passione di molti appassionati ed esperti, che analizzano ogni fotogramma e ogni riga delle schermate di codice mostrate in ogni puntata, scoprendo messaggi nascosti (come questo) e siti Web realmente esistenti che estendono e arricchiscono gli eventi della serie.

Il blog Naked Security di Sophos, per esempio, pubblica recensioni tecniche di ciascuna puntata, confermando la plausibilità dei metodi di attacco e mostrati e degli strumenti utilizzati.

Una delle chicche più notevoli è nella quinta puntata della seconda stagione: non è sullo schermo, ma è annidata nell’audio della puntata. A un certo punto si ode un breve fruscio incoerente, al quale è facile non fare caso: ma in realtà si tratta di un’immagine trasmessa in forma codificata: questa.

Ci sono anche apparizioni di informatici illustri, come per esempio Gregg Housh, ex membro di Anonymous nella realtà, che fa la comparsa nella seconda puntata della seconda stagione. Non perdetevi l’apposito sito ufficiale che contiene (quasi) tutte le chicche nascoste di ciascuna puntata.

Sì, le chiavette USB lasciate in giro come esca funzionano

È un espediente usato spesso nelle trame dei film e telefilm quando si vuole mostrare un tentativo di intrusione informatica: lasciare nelle vicinanze dell’azienda o della persona presa di mira delle chiavette USB che facciano da esca e poi attendere che il bersaglio le trovi e, mosso da curiosità, le infili in un computer, in modo che il malware contenuto nelle chiavette possa infettarlo e poi rubare dati o compiere altre nefandezze.

La tecnica è stata mostrata, per esempio, in una puntata della prima stagione di Mr. Robot, telefilm-culto fra gli informatici per il realismo delle modalità d’intrusione digitale che mostra. Ma questa storia delle chiavette è davvero credibile? La gente è davvero così curiosa e ingenua?

Purtroppo sì: pochi giorni fa, al convegno statunitense BlackHat, Elie Bursztein di Google ha presentato i risultati di un esperimento nel quale quasi 300 chiavette USB sono state lasciate in giro nel campus della University of Illinois Urbana-Champaign. Il 98% delle chiavette è stato raccolto (la prima solo sei minuti dopo il piazzamento) e il 45% è stato non solo inserito in un computer connesso a Internet ma sfogliato cliccando sui suoi file.

Le chiavette disseminate sono state etichettate con nomi diversi (“esami”, “confidenziale”, con chiavi e indirizzo del proprietario, oppure senza alcuna indicazione) per vedere quali nomi erano più allettanti. La buona notizia è che le chiavette che recavano le coordinate del proprietario sono state quelle meno aperte.

Alle cavie dell’esperimento è andata bene, perché sulle chiavette c’era solo un innocuo sondaggio tracciante, ma Bursztein ha mostrato come sarebbe stato possibile camuffare come chiavetta USB un emulatore di tastiera che poteva prendere il controllo del computer. Mai fidarsi, insomma, delle chiavette trovate in giro, neanche se hanno l’aria di contenere informazioni golose.

Fonte aggiuntiva: Tripwire.

Cerca nel blog

2016/08/13

2016/08/14

2016/08/12

2016/08/10

2016/08/05