Qui ci sono i fatti più interessanti della conferenza:

Torpig utilizza una tecnica chiamata “flussante dominio” per evitare di essere arrestato, semplicemente bloccando l’IP o il nome del dominio del server del centro di controllo. L’idea è semplice – in funzione della data e ora l’algoritmo genera un nome di dominio a cui connettersi. Se il dominio viene chiuso, il bot userà semplicemente un dominio diverso, dopo qualche tempo. I ricercatori conoscendo la generazione dei nomi di domino sono stati in grado di assumere il controllo su una parte della botnet crackando l’algoritmo di generazione nome di dominio e la registrazione di alcuni dei nome di dominio da utilizzare per la comunicazione.

Successivamente, i cattivi notato che una parte della botnet è stata sottratta, rilasciano un aggiornamento software per tutti i bot che utilizzeranno un nuovo algoritmo di flusso di dominio, questi nuovi algoritmi usano gli argomenti popolari del giorno sul social network Twitter e li utilizzano per generare i nomi di dominio.Con questo nuovo algoritmo i ricercatori non erano più in grado di prevedere il dominio che sarebbe stato utilizzato il giorno successivo, bisognerebbe conoscere un giorno prima l’argomento più polare su un social network che riporta per l’80% notizie in tempo reale.

Quando i bot comunicano con il server di comando trasmettono un campo ID univoco che è stato generato dall’hardware della macchina. Questo ha permesso ai ricercatori di stimare il numero reale di computer infetti. I ricercatori hanno visto 1,2 milioni di indirizzi IP unici, ma soltanto 180.000 macchine. I bot analizzati rubavano i dati finanziari da 410 istituti finanziari (top 5: PayPal, Poste Italiane, Capital One, E * Trade, Chase), avrebbero un registro di carte di credito (prime 5 carte: Visa, Mastercard, American Express, Maestro, Discover ), e avrebbero anche rubato tutte le password dal gestore delle password dei browser.

In uno studio del 2008 Symantec ha stimato che le informazioni riguardanti le carte di credito sono vendute da 10 a 25 dollari per ogni carta nel mercato nero. Le informazioni dei conti bancari sono vendute da 10.00 a 1,000 dollari per ogni conto. L’utilizzo di questo studio ha permesso ai ricercatori di stimare, durante il periodo di 10 giorni, l’importo delle risorse finanziarie che i bots hanno raccolto sono state del valore di 83.000 a 8,3 milioni di dollari. Utilizzando varie stime dei ricercatori si è calcolato che i bot sono usati per il denial of service e la larghezza di banda totale sarebbe 17Gbps.

Dal momento che è stato Torpig a inviare tutti i dati HTTP POST e-mail al server di comando e controllo, i ricercatori hanno statistiche sulle e-mail e hanno scoperto che il 14% di tutte le email sono state lette sui posti di lavoro, il 10% ha parlava di sicurezza del computer / malware, 7% di denaro, 6% erano appassionati di sport, il 5% erano preoccupati per gli esami e la loro qualità, il 4% parlavano della ricerca di partner online. Il 28% delle persone riutilizzato la propria password su più domini. Ci sono state 173.686 password univoche.

I ricercatori hanno convertito le password in formato Unix e hanno cercato di forzarle con John the Ripper. 56.000 erano crackate in meno di 65 minuti con attacco di forza bruta, invece utilizzando un dizionario 14.000 password son bastati 10 minuti. E altri 30.000 sono state le password crackate nelle 24 ore successive. Il 58% di tutte le password sono state crackate in 24 ore.

Il video conferenza è lungo 1h 15m ed è presentato da Richard A. Kemmerer.

Rubare una botnet

Qui ci sono tutti gli argomenti della conferenza:

• [02:00] terminologia botnet – bot, botnet, server di comando e controllo, canale di controllo, botmaster.
• [03:00] Introduzione al trojan Torpig e la piattaforma Mebroot malware.
• [05:00] Come Torpig opere.
• [11:30] Torpig iniezione HTML.
• [15:00] fluxing dominio.
• [19:15] Capofila c Torpig’s & C server.
• [24:10] principi di raccolta dei dati.
• [26:00] C & C protocollo del server.
• [31:10] stima botnet di dimensioni.
• [37:00] minacce “botnet” è: il furto di informazioni finanziarie, denial of service, server proxy, furti privacy.
• [37:30] Minaccia: furto di informazioni finanziarie.
• [42:00] Threat: Denial of Service.
• [43:30] minacce: i server proxy.
• [44:20] Minaccia: furto Privacy.
• [47:00] Analisi Password.
• [50:40] punizione penale.
• [53:00] applicazione della legge.
• [58:00] Rimpatrio dei dati.
• [01:00:00] Etica.
• [01:02:00] Conclusioni.
• [01:06:00] Domande e risposte.

In Francia e Germania le autorità diffondono una nota: non usate Internet Explorer. Alla base della vicenda c’è una vulnerabilità relativa a Internet Explorer versione 6 su sistema operativo Windows XP. Lo stesso problema di sicurezza starebbe alla base del contenzioso tra Google governo cinese.

Il governo tedesco agli utenti: «Non usate Explorer»”,” Explorer, anche la Francia lancia l’allarme”. Sono questi i titoli di alcuni dei principali quotidiani online dedicati a una vicenda che merita un minimo approfondimento. Riportiamo il calendario a qualche giorno fa e per rinfrescare la memoria segnaliamo questo link dedicato alla vicenda in cui Google e Governo cinese si trovano a confrontarsi. Google ha  rilevato alcune violazioni dei propri sistemi informatici notando accessi indesiderati ad alcuni account di posta elettronica: tali caselle email sarebbero per di più riconducibili ad alcuni attivisti cinesi per i diritti umani.

Da Mountain View vengono chieste spiegazioni alle autorità cinesi con la minaccia da parte di Google di sospendere ogni attività in Cina: Google parrebbe disposta a rinunciare alle enormi opportunità di business legate ai forti tassi di crescita del mercato IT in Cina e all’elevato numero di utenti potenzialmente raggiungibile. Per il momento il governo cinese non ha dato importanti riscontri, e pure le autorità americane si sono fatte avanti per far chiarezza sull’accaduto: oltre a Google ci sarebbero altre 30 aziende fatte oggetto di attacchi informatici provenienti dalla Cina. La vicenda è ancora tutta da chiarire nei suoi dettagli e, forse, ai giornali giungerà solo una parte di tali informazioni.

Questi appena descritti sono in estrema sintesi i fatti di cronaca a cui però si deve aggiungere un dettaglio essenziale e importante per poter comprendere i titoli dei quotidiani citati in apertura. Stando a quanto identificato da molti esperti di sicurezza informatica, tra i quali i tecnici di McAfee, alla base degli attacchi subiti da Google e dai già citati account Gmail vi sarebbe una vulnerabilità di alcune versioni datate di Internet Explorer.

Sarebbe proprio la vulnerabilità di Internet Explorer ad aver scatenato un putiferio in Europa tanto da indurre il Bundesamt fuer Sicherheit in der Informationstechnik – l’Ufficio Federale responsabile per la sicurezza informatica – a diffondere un comunicato nel quale invita a non usare Internet Explorer senza se e senza ma. Anche disattivando ActiveX e impostando il più alto livello di sicurezza Internet Explorer nelle versioni 6, 7 e 8 viene definito insicuro da BSI e gli utenti sono invitati a utilizzare browser alternativi.

Alla presa di posizione delle autorità tedesche fa eco un’analoga dichiarazione del CERTA (Centre d’Expertise Gouvernemental de Réponse et de Traitement des Attaques informatique) francese. Il messaggio è in sostanza il medesimo: utilizzate un browser alternativo.

A tutte queste dichiarazioni si contrappongono altre prese di posizione non così convinte della pericolosità di Internet Explorer, o meglio non convinte che altre alternative possano offrire condizioni di utilizzo veramente sicure all’utente finale. Sophos prende chiaramente posizione a fianco di Microsoft e nel blog di Graham Cluley – senior technology consultant – si legge:

Ora, in un contraddittorio è lecito dare la parola all’accusa – e lo abbiamo fatto indicando gli annunci fatti dalle autorità francesi e tedesche – ma anche alla difesa, e lo facciamo segnalandovi questo breve video diffuso poche ore fa da Microsoft Italia.

Internet Explorer -

Il video per ovvie ragioni non scende troppo nel dettaglio ma da parte Microsoft vengono citate ulteriori fonti di approfondimento. Cerchiamo ora di capire meglio il problema relativo a Internet Explorer e alla vicenda nel suo complesso per poi valutare in maniera autonoma l’accaduto.

Dalle caratteristiche pubblicate per sfruttare la vulnerabilità di Internet Explorer 6 – Microsoft indica solo questa versione affetta dalla vulnerabilità in oggetto- gli utenti che hanno subito un attacco sono stati indotti a visitare una particolare pagina web appositamente creata. Nel caso specifico potrebbe essere stata usata una email, insomma Microsoft sottolinea la natura mirata degli attacchi ai singoli utenti e non all’infrastruttura di Google.

A ciò nella ricostruzione di Redmond viene fatto notare un dato di fatto non trascurabile: la vulnerabilità è sfruttabile su sistema operativo Microsoft Windows XP e con Internet Explorer versione 6. Microsoft sottolinea come entrambi i prodotti siano vetusti – vengono definiti paleolitici dal blog di Feliciano Intini – sottolineando come oggi sia disponibile Windows 7 e Internet Explorer 8. Per la versione del browser ci sentiamo di condividere la posizione di Microsoft mentre per quanto riguarda il sistema operativo è inutile sottolineare quanto Windows XP sia tutt’oggi diffuso, soprattutto in molte aziende. Per Microsoft pare non esserci alcun allarme straordinario, anzi i vari esponenti approfittano della situazione per sensibilizzare su un aspetto fondamentale per la sicurezza: l’aggiornamento del software e del sistema operativo.

Un dettaglio però non ci tornava e abbiamo voluto chiedere diretto riscontro a Feliciano Intini -chief security advisor di Microsoft Italia -. Nelle note delle autorità tedesche e francesi vengono indicati come potenzialmente vulnerabili anche Internet Explorer 7 e 8, mentre dalle informazioni diffuse da Microsoft il problema parrebbe limitato alla sola versione 6 in abbinamento a Windows XP. Inutile sottolineare che su molti altri articoli pubblicati non venga nemmeno indicata la versione di Internet Explorer. Questa omissione farebbe quindi supporre che tutti gli utenti abituati all’uso di tale software siano in pericolo.

Siamo quindi andati alla fonte rivolgendo il quesito all’esperto di Microsoft. La situazione più pericolosa si concretizza su PC dotati di sistemi operativi Microsoft Windows XP in abbinamento Internet Explorer versione 6. La stessa vulnerabilità è presente in Internet Explorer 7 e 8 ma con sistema operativo più recente preoccupa di meno se l’utente abilità la modalità IE Protected Mode e DEP. Al momento è nota l’esistenza di attacchi a sistemi dotati di Internet Explorer 6 e Windows XP e pare più complicato sfruttare le medesime vulnerabilità su sistemi più aggiornati. Detto ciò, e Microsoft stessa lo ammette, il problema va risolto e anche in fretta.

Nell’apertura di questo articolo abbiamo descritto una situazione molto seria e problematica, soprattutto in relazione alla diffusione di Internet Explorer e al potenziale bacino di utenti a rischio. Nell’analisi dei fatti il tutto risulta più limitato e circostanziato. Sia chiaro: la vulnerabilità in Internet Explorer 6 rimane e al momento è meno preoccupante nelle versioni 7 e 8, andrà risolta magari senza aspettare il prossimo patch day.

Stando alle attuali informazioni disponibili e in attesa di eventuali sviluppi,  la sitazione diviene pericolosa in un contesto nel quale l’utente o chi per esso non sia in grado di gestire correttamente il proprio sistema omettendo poche e semplici abitudini che ormai da anni descriviamo: software e sistema operativo aggiornato con le ultime patch in abbinamento a suite per la sicurezza completa (il solo antivirus potrebbe non bastare!), magari non sviluppata da Microsoft ma da terze parti in virtù di una maggiore possibilità di scelta.

In apertura abbiamo citato enti francesi e tedeschi e pare doveroso segnalare il punto di vista del CERT-SPC -unità di prevenzione e gestione degli incidenti informatici del Sistema Pubblico di Connettività – italiano che in una nota diffusa qui riporta:

In relazione alla vulnerabilità di tipo “zero-day” che interessa Internet Explorer già  osservata dal CERT-SPC dallo scorso 15 Gennaio ed illustrata nella sezione bollettini, si rappresenta che in ambito SPC al momento non sono stati segnalati incidenti riconducibili alla stessa. Si evidenzia però il rischio associato alla possibilità di sfruttare tale vulnerabilità in associazione ad iniziative di spam, ai risultati proposti  dai motori di ricerca ed ai collegamenti presenti sui social network, inerenti eventi di particolare ed attuale interesse collettivo, quali il recente sisma  che ha devastato HAITI o all’attenzione mediatica sull’uscita del film AVATAR. Tali circostanze possono essere utilizzate dagli attaccanti per indurre gli utenti a visitare pagine web appositamente realizzate per inoculare malware o la sfruttare anche questa vulnerabilità in Explorer.
…Microsoft, infine, in una nota preventivamente anticipata al CERT-SPC ha indicato anche l’ipotesi di un aggiornamento di sicurezza di tipo “OUT OF BAND” ovvero straordinario rispetto al normale ciclo di rilascio del software correttivo appena avvenuto per il mese di Gennaio.

Fonte

Mentre Microsoft è ancora impegnata nello sviluppo di una patch per Internet Explorer che risolva la falla recentemente utilizzata negli attacchi a Google, un esperto di sicurezza ha divulgato i dettagli di una vulnerabilità apparentemente celata in Windows dalla “notte dei tempi”, ovvero dall’anno 1993. Ad esserne interessate sarebbero tutte le versioni a 32 bit di Windows a partire da NT, inclusi XP, Server 2003, Vista, Server 2009 e 7.

Tavis Ormandy, scopritore della falla e information security engineer presso Google, spiega in questo advisory che il problema è legato alla Virtual DOS Machine, e può essere sfruttato per iniettare del codice direttamente nel kernel di Windows: questo potrebbe consentire a un aggressore o a un malware di prendere il controllo delle aree più “sensibili” e protette del sistema, e installare ad esempio key logger o rootkit.

The Register riporta che la società Immunity di Miami ha già aggiunto l’exploit della vulnerabilità al proprio software di auditing indirizzato ai professionisti della sicurezza. La società afferma che l’exploit è stato testato con successo su tutte le versioni di Windows ad eccezione della 3.1.

In attesa che Microsoft rilasci una patch, Ormandy afferma che è possibile proteggersi della debolezza disattivando i sottosistemi MSDOS e WOWEXEC di Windows: per farlo è necessario modificare alcune voci di registro così come spiegato in questo articolo del supporto tecnico di Microsoft. Va rimarcato che disattivando questi due componenti si perde la compatibilità con i vecchi programmi a 16 bit (quelli per DOS e Windows 3.1), ma per la stragrande maggioranza degli utenti questo non dovrebbe essere un problema.

Ormandy sostiene di aver segnalato il bug a Microsoft nel giugno del 2009, tenendone nel frattempo segreti i dettagli: non avendo ricevuto da BigM alcuna risposta, e avendo constatato che il baco è ancora aperto, negli scorsi giorni si è deciso a rendere il problema di pubblico dominio insieme a un exploit dimostrativo.

Contattata da The Register, Microsoft ha fatto sapere, per bocca di un suo portavoce, di stare vagliando l’advisory di Ormandy e di non essere a conoscenza di attacchi che sfruttino questa vulnerabilità.

Ieri il big di Redmond ha anche annunciato che la recente falla di Internet Explorer verrà corretta appena possibile, e al di fuori del suo ordinario ciclo di pubblicazione dei bollettini di sicurezza. Sui rischi e la portata di tale vulnerabilità Microsoft Italia ha recentemente minimizzato.

“Pur non essendo mutato in modo significativo lo scenario di rischio (nel senso che gli attacchi noti sono rimasti quelli mirati e circoscritti, ed efficaci solo su sistemi con IE6), il clamore mediatico e la confusione da parte dei clienti che ne è derivata (vedi dubbi tra versioni impattate dalla vulnerabilità – praticamente tutte – e quella seriamente impattate da eventuali attacchi intrusivi – solo IE6), anche relativamente alle contromisure temporanee di difesa (vedi abilitazione del DEP), hanno spinto verso la decisione di un rilascio in modalità Out-of-band (OOB)” ha scritto ieri Feliciano Intini, chief security advisor di Microsoft Italia, sul suo blog.

Fonte

Microsoft ci aveva provato a chiudere il vaso di Pandora aperto con la distribuzione non autorizzata di COFEE sui network di P2P, temendo possibili contromosse da parte di hacker o cybercriminali. Ma la minaccia legale non è bastata a fermare il libero fluire in Rete del tool forense e alla fine quella contromossa si è concretizzata nella forma di DECAF: ovvero Detect and Eliminate Computer Assisted Forensics.

Nella stessa misura in cui COFEE serve agli investigatori per raccogliere prove e tracce su sistemi informatici connessi a indagini e crimini, così DECAF appronta una serie di contromisure tese a bloccare tutti i tentativi di intromissione, analisi e log possibili col tool gratuito di Redmond.

“Vogliamo promuovere un sano e illimitato flusso del traffico Internet e dimostrare perché le forze dell’ordine non dovrebbero affidarsi soltanto a Microsoft per automatizzare la ricerca intelligente di prove” ha detto uno degli autori di DECAF spiegando le motivazioni alla base del software da lui contribuito a creare.

Da Redmond avevano provato a far sparire le tracce di COFEE minacciando ritorsioni legali per quei siti che lo avessero continuato a offrire come download, e come dimostra l’esistenza di DECAF la possibilità di veder nascere una contromisura in quegli ambienti dove per Microsoft si annida l’illegalità, il software non certificato e ogni genere di pericoli per l’utente, era ben più che concreta.

Una volta installato in pianta stabile sul sistema, DECAF agisce monitorando il PC e verificando l’avvio dei processi, il collegamento di chiavette USB e l’esistenza di tracce riconducibili ai file di COFEE. Nel qual caso l’esito del monitoraggio dinamico fosse positivo, DECAF provvede automaticamente a cancellare i log creati dall’utility forense, camuffare gli indirizzi fisici MAC, “smontare” e disabilitare i drive USB e altro ancora. I suoi due autori promettono inoltre future versioni capaci di bloccare il sistema protetto agendo da remoto.

Appare ovviamente scontato il fatto che, anche qualora Microsoft provasse a buttare il giù il sito di DECAF, il tool continuerebbe a essere disponibile in rete, sul P2P e altrove, magari su Wikileaks dove già hanno provveduto a ospitare COFEE. Si attende ora la risposta che Redmond deciderà di fornire all’esistenza del “decaffeinato” del loro forensics tool.

Fonte

Secondo quanto affermato da Mel Morris, CEO e CTO di Prevx, una società inglese specializzata in sicurezza, il problema colpirebbe in modo uguale Windows 7, Vista e XP.

Prevx aveva già ricevuto alcuni campanelli di allarme nel corso della passata settimana, attraverso alcune segnalazioni pervenute dagli utenti. Microsoft, avrebbe infatti, con l’ultimo aggiornamento, apportato dei cambiamenti all’Access Control List (ACL), una lista di permessi per gli utenti loggati. L’ACL interagisce con le chiavi di registro, creando alcuni componenti visibili sul desktop, come la sidebar. L’aggiornamento, a quanto pare, modifica in modo errato queste chiavi di registro, causando il problema che dà come risultato il simpatico schermo nero.

Mel Morris è perentorio quando afferma: “if you’ve got this problem, it’s massively debilitating”, un problema c’è insomma e nemmeno di poco conto.

Prevx spiega nei dettagli sul proprio blog il problema che causerebbe l’ultimo aggiornamento di Microsoft che, lo ricordiamo, è stato distribuito dal 10 di Novembre per risolvere vulnerabilità in Windows, Windows Server, Excel e Word. Mel Morris offre inoltre, a questo indirizzo, una patch che potrebbe riuscire a risolvere il problema.

Fonte

Incominciamo con una situazione molto cumune nella vita di tutti. Immaginiamo di essere in una tavola piena di persone, tra i commensali si alza Bob e inizia a versare il vino, dato che i commensali sono molti capita che non tutti i bicchieri sono della stessa dimensione, Bob deve fare attenzione a non far traboccare i bicchieri. A un certo punto i commensali decidono di bendare gli occhi a Bob e fargli versare il vino su indicazione di Alice. Dato che Alice tende ad essere biricchina tenta in tutti i modi di far traboccare i bicchieri e Bob deve fare molta attenzione a non sbagliare pena la derisione. Ora, dopo questa favoletta, trasponiamo tutto nel mondo informatico. Dobbiamo immaginare un programma informatico come una serie di operazioni scritte su una striscia infinita di carta (tipo il rotolo della foxy), su questa striscia ci sono scritte le operazioni che il computer esegue in base ai comandi dell’utente; inoltre, sulla stessa striscia verranno lasciati diversi spazi per memorizzare i dati (i nostri bicchieri). Mmm… Ora che mi ricordo… Alice è il nostro utente.
Alice da i comandi al computer (Bob) e il computer si comporta secondo le le istruzioni scritte sul rotolo foxy, si sposta sul rotolo, memorizza, poi si riposta, poi rimemorizza, Alice da i comandi e Bob si sposta, continuando finché Alice non decide di chiudere il programma oppure finché non va in crash per colpa di Alice o di altro…

I dati sono inseriti in appositi contenitori (i bicchieri per intenderci), può succedere a volte che il bicchiere è troppo piccolo e i dati traboccano sulle zone successive andando a sovrascrivere altre zone di memorie. Questo che si verifica è un errore di programmazione comunemente e superficialmente chiamato bug, in questo caso specifico viene chiamato Stack Overflow.

Un bug del genere non è molto raro ma neanche troppo facile da trovare, dato che i software prima di essere rilasciati vengono testati a sufficienza la maggior parte di questi bug vengono eliminati, giusto per farci un’idea un probabile Overflow si manifesta quando riceviamo un errore del genere: “L’istruzione a 0×41414141 ha fatto riferimento alla memoria a 0×41414141. La memoria non poteva essere read”.

Con uno Stack Overflow non ci si può fare molto oltre che aspettare che i programmatori risolvano il problema, ma volendo ci si può costruire un Exploit che sfrutti il bug. Se ad essere vulnerabile è un programma che lavora in remoto allora si ha la possibilità di attaccare da remoto un sistema. In genere si apre un “canale” con il quale l’attaccante può eseguire delle operazioni sul computer della vittima.

Il concetto di base sta nel riempire la zona dei dati con un “programma” che apra un “canale” sul computer della vittima e sovrascrivere le porzioni di rotolo dove ci sono le istruzioni (i comandi di Bob) per far eseguire il nostro programma. Nel gergo il “programma” (che programma non è, anche se è una serie di istruzioni) shellcode, e di shellcode ci stanno a tonnellate, googlare per credere. L’aspetto arduo è riuscire a trovare la giusta quantità di dati per riuscire a sovrascrivere i dati e le istruzioni senza sovrascrivere i dati successivi, altrimenti il programma va in crash e finisce la festa. La maggior parte delle volte l’individuazione della quantità esatta di dati da sovrascrivere è fatta a tentativi (logicamente su un sistema con le stesse condizioni). Comunque su internet, grazie a google, si trovano degli exploit già pronti per essere compilati.

Di solito si usano dei debugger ed editor esadecimali, ma se c’è già pronto un exploit scaricato da internet è sufficiente un compilatore. C’è da dire che per facilitare questi compiti si può usare un framework che ultimamente ha riscosso un grande successo: Metasploit.

Dal punto di vista legare operare sul proprio computer non è illegale, ma farlo su quello di un’altra persona e totalmente illegale.

Spero che per il 80% dei visitatori non sia stato troppo complicato e per il restante 20% troppo generico, dipende dal punto di vista.

Saluti Arturu.it

Questo breve articolo si propone di illustrare, anche attraverso esempi pratici, le tecniche di cracking più comuni al fine di consentire al lettore di adottare le opportune contromisure necessarie a mettere in sicurezza la propria rete senza fili.

Reti WEP e WPA

Attualmente la quasi totalità delle reti wi-fi è protetta mediante gli standard WEP e WPA-PSK.
Il WEP (Wired Equivalent Privacy) è uno standard basato sull’algoritmo di cifratura dei dati RC4, il quale ha il vantaggio di essere molto veloce ma poco sicuro: nella particolare implementazione utilizzata, infatti, sono stati riscontrati difetti gravissimi che permettono il calcolo della chiave di rete a partire da dati ottenuti dall’analisi del traffico criptato.
Il WPA-PSK (Wi-Fi Protected Access / Pre Shared Keys) è un protocollo creato per tamponare il problema scaturito dal fallimento del WEP. Utilizza chiavi di criptazione dinamiche a 128 bit e combina la chiave in uso con un vettore di inizializzazione (IVS). Le chiavi variano dinamicamente e la stessa non compare mai due volte consecutive.
WPA2-AES è l’evoluzione dei protocolli precedenti, più robusto dei due sistemi appena trattati.

La suite Aircrack-ng

Per gli esempi pratici di questo articolo useremo la nota suite per l’auditing di reti wireless Aircrack-ng su sistema operativo Linux (è possibile, anche se più problematico, utilizzare la suite anche su sistemi Windows).
Aircrack-ng offre all’utilizzatore un packet sniffer e una serie di tool di analisi che possono essere impiegati con qualsiasi scheda wireless munita di supporto per il monitor mode.

Dopo aver effettuato il download dal sito ufficiale dovremo procedere all’installazione; per farlo si consiglia di seguire le istruzioni presenti sul sito dell’autore; se avete Ubuntu ve la caverete con l’istruzione:

$ sudo apt-get install aircrack-ng

Il Monitor Mode

Le schede di rete funzionano normalmente in una modalità che legge in prima istanza il MAC Address del pacchetto catturato e lo scarta automaticamente se non è indirizzato nostro host. Per i nostri fini è invece necessario poter catturare tutto il traffico “circolante”.
La modalità Monitor permette la ricezione del pacchetto anche nel caso in cui il nostro host non sia associato con l’access point o il terminale che lo ha generato.
Per impostare la scheda di rete nella modalità Monitor, si utilizzano comunemente le seguenti istruzioni:

$ su
# airmon-ng stop <interfaccia>
# airmon-ng start <interfaccia>

Per verificare se il Monitor Mode sia stato attivato correttamente sarà sufficiente lanciare il comando:

# iwconfig

e leggere il valore del campo Mode dall’output del comando.

Sniffing dei pacchetti

Si definisce “sniffing” l’attività di intercettazione passiva dei dati che transitano in una rete telematica. Lo sniffing, in pratica, non è altro che la cattura dei pacchetti in transito su una rete.
Per visualizzare l’elenco delle reti sotto monitoraggio è sufficiente lanciare il comando

# airodump-ng <interfaccia>

Lanciato senza altri parametri il comando citato non salva i pacchetti ricevuti da nessuna parte ma si limita a fare polling tra tutti i canali alla ricerca del massimo numero di reti possibile (il polling consiste nel provare a connettersi su tutti i canali ad intervalli regolari di tempo).

Questa fase, generalmente, percede lo sniffing vero e proprio; in questa fase preliminare, in sostanza, si “sceglie la vittima” dell’attacco. Per farlo sarà innanzituitto necessario appuntarsi alcune informazioni sulla rete individuata:

• BSSID
• ESSID
• Channel (canale)
• SSID del/dei client/s

Fatto questo sarà possibile lanciare il comando che avvia lo sniffing vero e proprio e salva su file il traffico catturato:

# airodump-ng -c <canale> -b <BSSID> -w <filedicattura.ivs> <interfaccia>

A questo punto, a seconda del tipo di protezione che difende la rete-obiettivo si può agire con tecniche differenti.
In certi casi, a dire il vero non frequentissimi, gli access point si proteggono da attacchi esterni tramite il MAC filtering, che consiste nell’accettare connessioni soltanto dagli host il cui indirizzo sia presente in una lista dedicata (whitelist).
Sfruttando il fatto che almeno il MAC address dell’utente proprietario della rete sia presente in whitelist si può tentare di attaccare questo sistema facendo MAC Spoofing, ovvero cambiando con una riga di comando il proprio MAC Address con quello del proprietario della rete, che può essere ricavato ad esempio dalla lista delle connessioni tracciate da airodump.
I seguenti comandi cambiano il proprio indirizzo MAC con quello inserito come argomento:

# ifconfig <interfaccia> down
# ifconfig <interfaccia> hw ether <nuovo_mac>
# ifconfig <interfaccia> up

Cracking WEP

Come già accennato il WEP ha un difetto di implementazione che lo rende vulnerabile ad un attacco basato su un semplice calcolo statistico: qualora si sia intercettata una quantità sufficiente di traffico l’attacco ha percentuali di riuscita vicine al 99%.

Se il nostro obiettivo è bucare (o meglio testare) una rete protetta con WEP, il primo passo da compiere è, quindi, quello di catturare un adeguato numero di pacchetti nel più breve tempo possibile. Per farlo una comune attività di sniffing potrebbe essere sufficiente.
Qualora si desideri velocizzare l’operazione è possibile utilizzare in combinazione tecniche di fake association e packet injection: con la prima tecnica si crea un’associazione fittizia con l’access point vittima mentre con la seconda si fa in modo che nella rete circolino un gran numero di pacchetti.
In questo modo sarà sufficiente pochissimo tempo per raccogliere il nostro bottino.

Il comando che mette in pratica quanto appena descritto è aireplay-ng, lanciato coi parametri indicati:

1) Per la “Fake Association”

# aireplay-ng -1 0 -e <ESSID> -a <BSSID> -h <mio_mac> <interfaccia>

2) Per il “Packet Injection”

# aireplay-ng -3 -b <BSSID> -h <mio_mac> <interfaccia>

Al termine delle operazioni lanciamo il comando:

# aircrack-ng <filedicattura.ivs>

…ed attendiamo il responso.

Cracking WPA-PSK

Le reti WPA-PSK fortunatamente non soffrono della grave vulnerabilità del protocollo WEP. Craccare una rete di questo tipo necessità, pertanto, di un approccio per tentativi in cerca della giusta passphrase.

L’obiettivo preliminare è catturare un handshake valido. Per chi non lo sapesse l’handshake è una sequenza di pacchetti scambiati tra un client autorizzato e un Access Point che porta all’autenticazione.

Per conseguire questo primo fine si possono seguire due strade, la prima è aspettare che un client si connetta spontaneamente, la seconda è usare il Deauthentication attack.
Il principio è far disconnettere un client con lo scopo di fargli ripetere la procedura di autenticazione, che sarà attentamente catturata dal nostro sniffer.
La prima opzione, che pare a prima vista “poco furba”, diventa l’unica praticabile quando nessun client è connesso alla rete obiettivo.

Una volta catturato l’handshake si passa alla ricerca della passphrase.
Per questioni di tempo è impensabile effettuare un attacco a tentativi col grezzo “brute force” (prova sequenziale di tutte le combinazioni di un insieme di caratteri detto “charset”). E’ da preferire un attacco a dizionario, che però richiede una wordlist (lista di parole di senso compiuto normalmente utilizzate come password; ad esempio nomi di persona) di buona qualità per risultare efficiente.
Una volta ottenuta la wordlist sarà sufficiente eseguire il comando:

aircrack-ng -w <wordlist.txt> -b <mac_address> <filedicattura.ivs>

ed attendere speranzosi che la password cercata sia nel dizionario.
Un tipo di attacco di questo tipo andrà difficilmente a buon fine se la password è stata scelta con le dovute cautele.

Evoluzione del cracking e difesa della rete

Ovviamente questo testo non ha pretese di esaustività nel trattare la materia del cracking di una rete senza fili: esistono, infatti, tecniche più sofisticate che sfruttano altri tipi di vulnerabilità ma di più difficile applicazione. Di contro sono veramente pochi gli utenti in grado di utilizzare metodi differenti da quelli qui descritti.

Negli ultimi tempi sono stati sviluppati sistemi software che velocizzano il numero di operazioni effettuabili nell’arco di tempo in un attacco: i più interessanti sfruttano i velocissimi processori grafici, molto adatti per fare calcoli di questa natura, oppure sono basati sulla programmazione distribuita (il calcolo viene affidato non a una sola macchina ma ad una rete di calcolatori). Questo genere di innovazioni può minare anche la sicurezza delle password più sofisticate e di lunghezza medio-alta.

Per proteggersi dal WEP, pare scontato che l’unica soluzione sia non usarlo. Il WEP non è mai sicuro, e il cracking risulta facile qualsiasi sia la passphrase impiegata.
Il WPA-PSK offre protezione buona a patto che la password sia sufficientemente lunga, composta da vari tipi di caratteri (maiuscole/minuscole/numeri/caratteri speciali) e non sia una parola potenzialmente presente nel dizionario. La sicurezza cresce esponenzialmente con ogni carattere in più aggiunto alla password!
In ogni caso, quando possibile, il sistema migliore è certamente passare a WPA2-AES oppure, soluzione consigliata in ambito professionale, dotarsi di un server di autenticazione, ad esempio un server RADIUS.

Fonte mr webmaster

Poste smentisce che questi siano mai stati in pericolo, tuttavia. Alle 20.20 di sabato sera, l’attacco: il sito di Poste.it è stato sfregiato dai pirati. Dopo 30 minuti i responsabili se ne sono accorti e hanno messo il sito offline, rendendolo quindi non più raggiungibile dagli utenti.

Sul sito campeggiava una grande scritta, “hacked”, e una nota scritta dai due presunti hacker, che si sono firmati Mr. Hipo e StutM. “Perché questo atto di forza? Per dimostrare a milioni di italiani che i loro dati sensibili non sono al sicuro! Sembra pazzesco – si legge – eppure tutta la sicurezza garantita nei servizi online di e-commerce è solamente apparente”, era scritto nella nota. “Per vostra fortuna noi siamo persone non malintenzionate, perciò i vostri dati e i vostri accounts non sono stati toccati; ma cosa succederebbe – si legge ancora – se un giorno arrivasse qualcuno con intenzioni ben peggiori delle nostre?”.

“Con questo gesto quindi – continua la nota – invitiamo i responsabili a occuparsi della grave mancanza di sicurezza nei servizi online delle Poste s.p.a.”. I responsabili però minimizzano. “È solo un ‘defacement’ che riguarda il sito informativo di Poste.it. Non sono stati violati i server con i dati personali degli utenti, che quindi non sono mai stati in pericolo” dice a Repubblica.it Gerardo Costabile, responsabile Sicurezza Logica, Poste Italiane.

Il defacement è un’azione dimostrativa abbastanza comune, che consiste nello sfregiare un sito. Al solito, per riuscirci, i pirati sfruttano bug ed errori sul server che regge il sito. “Ancora non sappiamo come l’hanno fatto. Lo sapremo entro domani mattina, probabilmente. Adesso la polizia postale è nei nostri datacenter per le indagini sul caso”, aggiunge. “I defacement comunque sono un fenomeno abbastanza fisiologico su internet, se ne contano circa mille all’anno solo in Italia”.

Vero è che, negli anni, i pirati hanno colpito così siti di varie levature, anche istituzionali. Nel 2006 è capitato persino al ministero della Difesa. “Questa volta fa rumore perché si tratta di Poste e perché i pirati lanciano un’accusa in italiano”, aggiunge. Questo dettaglio in effetti è inusuale. Di solito i defacement sono neutri (semplicemente i pirati fanno vedere quanto sono bravi e scrivono in inglese); stavolta hanno voluto invece gettare fango direttamente sulla reputazione di Poste. Aspetti che potrebbero indirizzare le indagini verso i responsabili.

Fonte Repubblica.it

Il Microsoft Security Response Center ha ricevuto prontamente notifica dell’accaduto e ha promesso di comunicare ulteriori informazioni a breve. In una prima fase venne ipotizzato un problema di sicurezza interno ai sistemi Microsoft ma tale circostanza viene negata dalla casa di Redmond.

E’ disponibile una nota ufficiale diffusa da Microsoft in cui si riconduce il problema a un classico fenomeno di Phishing. Nel documento pubblicato da Microsoft vengono anche fornite alcune indicazioni di tipo generale per cautelarsi nei confronti del phishing: oltre a molta cautela da parte dell’utente nel fornire le proprie credenziali relative a user e password viene suggerito un aggiornamento costante della password oltre ovviamente all’utilizzo di un software antivirus completo, ben configurato e aggiornato.

A questo indirizzo sono riportate anche indicazioni dedicate a chi è caduto vittima di questo problema con il proprio account Hotmail.

Fonte

Roma – A rendere più urgente la correzione di un recente bug di Windows relativo al protocollo di rete Server Message Block (SMB) 2 è stata la divulgazione, negli scorsi giorni, di un nuovo exploit pubblico utilizzabile per eseguire codice sui PC in cui girano Windows Vista, Windows Server 2008 e le versioni di Windows 7 precedenti alla RTM.

Ad allarmare gli esperti c’è il fatto che il nuovo exploit, scritto dal ricercatore Stephen Fewer di Harmony Security, è stato inserito in Metasploit, un toolkit open source per il penetration testing utilizzato di frequente anche per fini poco leciti.

Microsoft è a conoscenza del problema da circa un mese e sebbene non abbia ancora rilasciato una patch ha messo a disposizione degli utenti un workaround automatizzato: per applicarlo è sufficiente visitare questa pagina e cliccare sul pulsante Fix it di sinistra, il quale provvede a disattivare SMB 2. Per riattivare questo componente, preferibilmente dopo aver applicato la relativa patch (in via di sviluppo), basterà cliccare sul pulsante Fix it di destra.

La falla, relativa all’implementazione del protocollo SMB 2, è stata scoperta lo scorso mese dall’esperto di sicurezza Laurent Gaffié, il quale pubblicò anche un exploit proof of concept: tale codice era però soltanto dimostrativo, e non poteva essere utilizzato direttamente per lanciare degli attacchi. Nonostante ciò, ai ricercatori di sicurezza non è occorso molto tempo per mettere a punto i primi exploit funzionanti: fino ad oggi il loro codice è circolato però soprattutto in forma privata, e poteva essere utilizzato solo per attacchi di denial of service.

Fewer sostiene che il suo exploit può essere utilizzato anche per l’esecuzione di codice a distanza, e per installare sui PC delle vittime backdoor o malware. L’efficacia del programma è stata però messa in dubbio da Kostya Kortchinsky, ricercatore senior presso la società Immunity, il quale afferma di essere riuscito ad eseguire del codice per mezzo dell’exploit di Fewer esclusivamente all’interno di una macchina virtuale VMware: al di fuori dell’ambiente di virtualizzazione il codice di Fewer causerebbe soltanto il crash del sistema.

Microsoft dovrebbe correggere definitivamente la falla con il rilascio dei prossimi bollettini di sicurezza, previsti per il 13 ottobre.

Come si è detto, BigM ha già fornito una soluzione temporanea al problema servendosi di uno script Fix it, una forma di workaround introdotta circa sei mesi fa e, da allora, utilizzata in oltre 300 occasioni per risolvere problemi, modificare le configurazioni di Windows o proteggere gli utenti da certi virus. Microsoft afferma che in oltre il 95% dei casi il pulsante Fix it “ha completamente risolto il problema”.

Fonte Punto-Informatico