giovedì 12 settembre 2019

Attacco alle SIM

La notizia in breve: tutte le SIM attualmente in circolazione sono vulnerabili a un tipo di attacco che permette, inviando un particolare SMS, di:

  • conoscere la posizione del device su cui si trova la SIM
  • inviare SMS in uscita dal device con l'identificativo della SIM (come se fossero inviati dall'utente reale)
  • bloccare il device
  • aprire il browser facendo in modo che visiti siti infetti, che scaricherebbero ulteriori malware

I Provider possono mitigare questa vulnerabilità bloccando quel tipo di SMS: speriamo che lo facciano.

Questa vulnerabilità non è solo teorica: è già stata utilizzata, a quanto pare, da "spioni" legati a un misterioso Stato, a scopo di censura e altro.

Qui un articolo (in inglese) che spiega con un certo dettaglio (TheHackerNews): 

sabato 7 settembre 2019

Phishing: falso Amazon

Sta girando una campagna di phishing diretta contro gli utenti italiani di Amazon. Si presenta con una mail che sollecita il completamento dei dati di registrazione su Amazon, indirizzando ad un falso sito clone, che con molta probabilità è fatto in modo da sottrarre le credenziali di accesso ad Amazon a chi non si accorge della truffa.

Il messaggio di phishing si presenta così:

e rimanda a questa falsa pagina di logon:


Come si può notare nella barra degli indirizzi, il nome dominio è:
securelogin.amazone.servtemp3.com
Dettagli su urlscan.io: https://urlscan.io/result/97569d5e-0736-48e2-bcf7-10ae04eeaa64

Fate sempre attenzione a questo tipo di "avvisi" che possono arrivare via mail.

venerdì 6 settembre 2019

Ancora IoT - GPS device

La Società di cyber-security Avast ha reso noti i risultati di un suo studio riguardante i device GPS tracker "T8 mini" prodotti dalla cinese Shenzhen i365-Tech e commercializzati anche con altri marchi.

Sostanzialmente, questi device, oltre a rilevare la posizione via sistemi GPS, si connettono a una infrastruttura cloud del produttore, con account uguale al codice IMEI e password (fissa) 123456.

Considerato che i codici IMEI sono assegnati alla produzione in maniera sequenziale, e che l'utente finale, pur avendo la possibilità di cambiare password dopo l'acquisto, molto raramente la cambia, per un entità malintenzionata è abbastanza facile prendere il controllo dei dati trasmessi dal device, per esempio cambiando la geo-localizzazione, oppure utilizzarli a scopo fraudolento: molti di questi device sono usati per "tracciare" la posizione di cani, bambini o automobili. Alcuni sono provvisti di un bottone di "emergenza" che permette ad anziani che vivono soli di allertare parenti o soccorsi in caso di problemi. In questi casi il device è provvisto di microfono e scheda SIM per far partire telefonate di richiesta soccorso. Un malintenzionato può invece stabilire una comunicazione telefonica con la scheda SIM del device, attivare il microfono e registrare rumori e conversazioni che avvengono nelle vicinanze (raccogliendo notizie sulle abitudini della persona anziana a scopo malevolo).

La società Shenzhen i365-Tech pare che non abbia ancora risposto alle segnalazioni inviate da Avast circa questa vulnerabilità.

Per ulteriori informazioni, qui il report di Avast (in inglese):
https://decoded.avast.io/martinhron/the-secret-life-of-gps-trackers/

domenica 31 marzo 2019

Spie, spioni e spioncini


Ormai siamo quasi abituati ad essere spiati digitalmente, qualsiasi cosa facciamo.

Quello che non ci aspettiamo, però, è di essere spiati con gli stessi metodi e strumenti che lo Stato utilizza con certi indagati e presunti criminali.

E invece, è quello che è successo a un migliaio di ignari italiani in rete. Per quello che si sa, sono forse un migliaio. Il fattaccio è stato scoperto ed è raccontato molto bene qui:

Il software è stato chiamato Exodus (e tutti i media ne stanno parlando con questo nome), anche se sarebbe più appropriato chiamarlo "Munnizza" (nell'articolo citato è spiegato perché).

Da notare che stavolta i responsabili, su cui sta indagando finalmente la Magistratura, sono tutti italiani. Sì va bene, avranno forse utilizzato qualche semi-lavorato di provenienza estera, ma tutto il processo di ingegnerizzazione dell'hacking ai danni di ignari utenti italiani è opera di "italiani veri", conterranei a quanto pare di quel cantante che rese famosa questa espressione tanti anni fa, e di un famoso e bravo calciatore, ambedue (sia chiaro) completamente estranei a questa triste vicenda.

Non esito a definirla "triste", poiché gli esecutori materiali non si sono limitati a fornire ciò che il committente (lo Stato) aveva "legittimamente" richiesto, ma hanno coinvolto anche ignari cittadini assolutamente estranei alle indagini in corso, facendogli interpretare a loro insaputa il ruolo di "cavie", per verificare il buon funzionamento dello strumento di hacking.

Come se non bastasse, forse per motivi di velocità di consegna o di economia (non voglio pensare a casi di insipienza tecnica, che pure non sarebbero da escludere), il "fornitore" ha lasciato nel "prodotto" gravi falle tecniche che consentono a terze parti, assolutamente non legittimate, di agire come se fossero gli spioni ufficiali e legittimati dalle indagini.

Insomma, un triste caso di "captazioni ambientali" che si allargano a macchia d'olio ben oltre il terreno che sarebbe stato necessario. Spie, spioni e pure spioncini. Appunto.

giovedì 21 marzo 2019

Le debolezze dell'hardware

... ricadono anche sul software.

Si parla di falle scoperte nella gestione della memoria RAM da CPU Intel.

Una prima vulnerabilità si chiama "rowhammer" ed è stata scoperta un po' di tempo fa: con un metodo analogo al bruteforcing, permette a un programma che gira in ambiente utente (non privilegiato) di avere accesso a tutta la memoria RAM del computer, quindi anche a dati riservati, utilizzabili da malintenzionati per compiere azioni dannose. Restava la difficoltà pratica di mettere in atto questo attacco, che richiedeva molto tempo e consumo di CPU.

Più recentemente è stata scoperta "SPOILER" un'altra vulnerabilità nella gestione della memoria RAM, che permette sempre ad un programma che gira in ambiente non privilegiato, di ricavare una mappatura delle zone di memoria RAM utilizzate dal sistema. Questa mappatura facilita molto il "lavoro" di "rowhammer", riducendo il tempo necessario a trovare l'accesso desiderato.

Questa è una descrizione piuttosto sommaria del rischio posto dalla combinazione di queste due tecnologie di attacco informatico. Rimane solo da notare che, essendo problemi hardware, qualsiasi sistema operativo e ambiente software rimane soggetto a queste vulnerabilità.

Per i dettagli, rimando ad alcune fonti, seguendo le quali si possono trovare ulteriori approfondimenti.

Rowhammer:
https://www.theregister.co.uk/2015/03/10/rowhammer/
https://github.com/google/rowhammer-test

SPOILER:
https://www.theregister.co.uk/2019/03/05/spoiler_intel_processor_flaw/
https://www.amd.com/en/support/kb/faq/pa-240