VoidSec è un nuovo portale nostrano dedicato alla Sicurezza Informatica, nato con l’intento di dare a tutti gli appassionati di Sicurezza Informatica (tecnici e non), un punto di ritrovo, di scambio di idee, di condivisione delle stesse.
Un luogo dove chi sa può restituire alla community, dove gli inesperti possono imparare, avvicinarsi al mondo della Sicurezza Informatica…
Lo scorso 24 Novembre 2013 hanno pubblicato un Security Advisor riguardante la nota catena di fast-food McDonald’s, analizzando il portale di login per gli ospiti del sistema Wi-Fi hanno identificato un errore, relativamente banale, nel processo di generazione dell’autenticazione a doppio fattore dell’account utente. In pratica è possibile registrare account fittizi saltando il passaggio obbligatorio di verifica dell’identità a mezzo della ricezione di un sms sul cellulare; tramite una analisi del traffico dati siamo stati inoltre in grado di recuperare i dati necessari all’automatismo della registrazione tramite bot.
Questa vulnerabilità permetteva pertanto di utilizzare la rete del McDonald’s come scudo e proxy per poter non solo navigare anonimamente in rete ma anche per portare attacchi ad altri sistemi in totale sicurezza/anonimato.
Inoltre sulla rete pubblica hanno identificato la presenza di alcuni servizi di back-end quali una vpn privata, il sistema di gestione wi-fi e il POS (gestione pagamenti bancomat e carte di credito).
La vulnerabilità individuata lo scorso Maggio ’13 è stata comunicata alla catena ad Agosto ’13, dopo una prima risposta ha smesso di comunicare con i ricercatori di VoidSec nonostante due solleciti. Pertanto hanno, giustamente, pensato di pubblicare la Full Disclosure lo scorso Novembre.
Per chi fosse interessato alla lettura del report e a ricevere maggiori informazioni può consultare il sito internet ufficiale.
I miei complimenti ai ragazzi di VoidSec mentre ho il solito dispiacere nel vedere aziende così importanti trascurare la propria sicurezza come avvenne con le vulnerabilità da me individuate sui principali quotidiani e riviste Italiane.
Una nuova ed imponente vulnerabilità affligge i router di Telecom Italia, marchiati Alice Gate AGPF, a scoprire la nuova falla è statoEmilio Pinna del team BackBox.
La vulnerabilità permette ad un utente malintenzionato di acquisire il pieno controllo del router in maniera permanente con gravi conseguenza sulla privacy dell’utente, una volta acquisito l’accesso al router l’attaccante potrà:
Intercettare i siti visitati dall’utente e redirezione verso siti copia fasulli per rubare credenziali di mail, social network, home banking, etc modificando i record del DNS;
Ascoltare le chiamate telefoniche, telefoni analogici compresi, sostituendo l’indirizzo del server VoIP ufficiale con quello di uno preparato per le intercettazioni;
Instradare tutto il traffico verso una macchina dell’attaccante allo scopo di analizzare il traffico e sottrarre dati sensibili;
Aprire dei pannelli di controllo del router verso internet con il quale l’attaccante mantiene l’accesso remoto al router nel tempo, con una interfaccia web esposta verso internet e tracciata via dns dinamico.
Secondo una prima stima approssimativa sui 9 milioni di clienti di Telecom Italia il 25% è in possesso del modem vulnerabile, circa 2 milioni di clienti sono vulnerabili all’attacco mettendo gravemente a rischio la privacy degli utenti.
È possibile ottenere il pieno controllo del router grazie alla presenza di due vulnerabilità nel software che opportunamente sfruttate in conseguenza danno accesso ai parametri interni, in primis il parametro HTTPstack_set della pagina admin.cgi dell’interfaccia web permette di riscrivere qualsiasi parte della configurazione interna del router (vulnerabilità comunemente sfruttata dal legittimo proprietario del router per sbloccare funzionalità nascoste). Inoltre il router di Alice non offre nessuna protezione contro gli attacchi CSRF: pubblicando una semplice pagina appositamente preparata si può forzare il browser dell’utente che la visita ad effettuare una richiesta HTTP post verso l’interfaccia web del router.
In pratica per sferrare l’attacco è necessario effettuare una particolare richiesta HTTP all’URL http://192.168.1.1/admin.cgi con la quale è possibile riscrivere completamente la configurazione interna del router, ipotizzando un attacco su larga scala un utente malintenzionato potrebbe pubblicare una porzione di codice HTML in una pagina internet molto trafficata e in poche ore trovarsi una botnet di Router a propria disposizione.
Emilio ha reso disponibile una pagina per verificare autonomamente se il proprio router Alice ADSL è vulnerabile, inoltre per chi volesse approfondire gli aspetti tecnici è disponibile la Full Disclosure.
Il team di WiFi Shark composto da Deinde e Swsooue è recentemente riuscito ad estrapolare l’algoritmo di generazione delle chiavi Wireless degli access point dell’operatore Italiano Tele Tu ex TeleTu.
La Full Disclosure rilasciata dal team è la seguente:
Partendo da una serie di dati di alcune reti TeleTu esistenti, è stata creata questa tabella:
Nella tabella si ha (in ordine) la prima parte del MAC, il MAC di inizio, il MAC di fine, il SN1 e il parametro chiamato BASE (simile al parametro Q dell’algoritmo del Pirelli AGPF).
Supponiamo di trovare una rete Teletu da dove si ricava il relativo MAC wifi (visibile liberamente) corrispondente a 00:23:8E:E5:28:C7.
Guardando nella tabella relativa si ricava la linea corretta (che è la seconda riga) dato che questa rete rientra tra E5:00:00 e E5:FF:FF (considerando solo gli ultimi tre byte).
Dalla tabella ricaviamo quindi SN1 = 15301 e BASE = E4C0D5
Consideriamo ora solo gli ultimi tre byte del MAC wifi, e cioè E528C7 e sottraiamo il valore BASE, da cui ci ricaviamo 67F2.
Sia il MAC, sia la BASE sono numeri in esadecimale, per cui il risultato 67F2 è anch’esso in esadecimale, per cui lo convertiamo in decimale e ci ricaviamo il valore 26610.
Dividiamo ora questo valore per 2 e troviamo il risultato di 13305.
Costruiamo ora il serial number completo, composto dal SN1 ricavato prima, una “Y” fissa, e il risultato appena ricavato formattato con 7 cifre.
Il risultato finale quindi è il serial number seguente: 15301Y0013305 La WPA di default non è altro che il serial number !!!!
Ovviamente la tabella permette per ora di calcolare una serie limitata di router, ma stiamo raccogliendo più dati possibili dei router Teletu per cui andremo a allargare sempre più questa tabella rendendola il più possibile completa.
Sono inoltre già stati sviluppati due software gratuiti, visibili nella foto iniziale, in grado di recuperare la propria chiave WPA:
A seguito della Responsible Disclosure rilasciata lo scorso 27/11/2010 nella quale dimostravo come era possibile aggirare il sistema di In-App Purchase sui sistemi Apple iOS per la lettura di rivisti e quotidiani sono oggi a pubblicare la Full Disclosure nella quale verrà dimostrato ogni singolo passaggio.
La procedura affligge i principali quotidiani e riviste, i soggetti interessati nella Full Disclosure sono stati preventivamente informati tramite eMail, tramite i canali online del settore Apple e sui loro canali Twitter.
Descrizione
Dopo un’attenta analisi dei pacchetti di rete ricevuti ed inviati (packet sniffer) da ogni singola applicazione è possibile determinare la fonte dei quotidiani o riviste, successivamente è possibile accedere direttamente da Safari o da qualsiasi altro Browser al contenuto desiderato, digitando un semplice indirizzo web, evitando il pagamento tramite l’In-App Purchase del contributo richiesto dall’editore.
Inizialmente è stato analizzato tutto il traffico di rete generato tra l’iPad ed un Access Point Wireless tramite l’applicativo Wireshark scoprendo che viene generato del traffico HTTP, integrando un semplice filtro è stato possibile ottenere tutti i percorsi necessari per creare la Responsible Disclosure.
Nel video della Full Disclosure ho ritenuto più immediato l’utilizzo di un Proxy HTTP, tramite il software Zaproxy sviluppato dalla OWASP è possibile visualizzare tutte le richieste di tipo GET generate dai vari applicativi, come potete visualizzare una volta ottenuto l’indirizzo “segreto” associato al quotidiano/rivista è possibile digitarlo in un comune browser accedendo al contenuto in maniera completamente gratuita.
Comunemente tutti gli applicativi incriminati procedono a scaricare un indice composto dai seguenti dati:
Copertina in Miniatura;
Data di pubblicazione;
Contributo da addebitare tramite In-App Purchase;
URL da utilizzare per il download del contenuto completo.
una volta processato l’acquisto il sistema provvede a scaricare la risorsa completa tramite l’URL contenuto nell’indice.
Per aggirare il pagamento dovremmo pertanto risalire all’URL del nostro contenuto e accederci direttamente da Safari o da un comune Browser (Mozilla Firefox, Chrome, ecc ecc).
La vulnerabilità può essere utilizzata ricorsivamente senza interagire giornalmente con il PC in quando vedremo che gli URL utilizzati sono sempre i medesimi con l’unica differenza che cambia la data in esso contenuta, un URL di esempio è similare a: http://ilnostrocontenuto.distributore.com/ANNO/MESE/GIORNO/CONTENUTO.PDF basterà sostituire ANNO, MESE, GIORNO con i valori interessati per ottenere il quotidiano desiderato, senza l’ausilio di alcun software Proxy o Sniffer.
Il sistema di diffusione cambia leggermente per i distributori ed in particolare:
Paperlit
Azienda che fornisce il servizio a molteplici quotidiani Italiani e Riviste permette di visualizzare l’indice dei contenuti sfruttando un semplice Reader RSS il quale punta direttamente al contenuto completo.
Pagestreamer
Azienda che ha come principale cliente il Sole 24 ore invia all’iPad un file ZIP contenente l’anteprima di ogni singola pagina del quotidiano ed un file .sql contenete un sunto degli articoli e il collegamento alle pagine in formato PDF.
Playsoft.fr
Azienda che prevede il download iniziale della miniatura in formato PDF, successivamente viene scaricato il file PDF contenente la versione completa del contenuto. Per gli applicativi di questa azienda è stato necessario l’utilizzo di un iPad Jailbreaked per determinare il formato del nome del file.
Video Full Disclosure
Risorse Disponibili
Di seguito verranno riportati gli URL necessari per accedere gratuitamente alle riviste o quotidiani evitando il pagamento del contributo richiesto dal fornitore tramite l’In-App Purchase di Apple.
Precedenti Giorni: http://www.paperlit.com/read/repubblica2-nz/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.
Precedenti Numeri: http://www.paperlit.com/read/emule/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.
Precedenti Giorni: http://www.paperlit.com/read/TimesLeader/YYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.
Precedenti Giorni: http://www.paperlit.com/read/laprovinciadilecco/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.
Precedenti Giorni: http://www.paperlit.com/read/laprovinciadicomo/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.
Precedenti Giorni: http://www.paperlit.com/read/laprovinciadivarese/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.
Precedenti Giorni: http://www.paperlit.com/read/laprovinciadisondrio/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.
Precedenti Giorni: http://www.paperlit.com/read/lecodibergamo/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.
Precedenti Numeri: http://www.paperlit.com/read/glamour/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.
Precedenti Giorni: http://www.paperlit.com/read/latribunaditreviso/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.
Precedenti Numeri: http://www.paperlit.com/read/nymag/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.
URL di Accesso: http://ipad.ilmessaggero.it/_deploy/ILM/YYYYMMDD/KKK/pdf/p_XX.pdf
Nell’url bisogna sostituire YYYYMMDD con la data del quotidiano che si desidera scaricare, KKK con l’edizione provinciale prescelta e XX con il numero della pagina.
Es: Per scaricare la prima pagina dell’edizione del 24 Maggio 2011 di Civitavecchia basterà accedere al seguente url:
È possibile leggerlo direttamente dall’iPad senza alcuna modifica, se invece si desidera accedere alla risorsa attraverso un altro dispositivo (PC, Mac, Android, ecc ecc) è necessario variare l’User Agent del Browser con il seguente:
Mozilla/5.0 (iPad; U; CPU OS 4_3_3 like Mac OS X; it-it) AppleWebKit/533.17.9 (KHTML, like Gecko) Mobile/8J3
Versioni Provinciali Disponibili:
CIT: Roma
CIV: Civitavecchia
FROS: Frosinone
LAT: Latina
RIE: Rieti
VIT: Viterbo
ABR: Abruzzo
MAR: Marche
UMB: Umbria
ANC: Ancona
PES: Pesaro
MET: Metropoli – Roma
OST: Ostia Litorale
L’Espresso
URL di Accesso: http://ws.ipad.espresso.repubblica.it/_deploy/pdf/YYYYMMDD/p_XX.pdf
Nell’url bisogna sostituire YYYYMMDD con la data del numero che si desidera scaricare e XX con il numero della pagina desiderata.
Il Corriere della Sera sfrutta i Cookie per convalidare l’accesso ai propri contenuti, pertanto per visualizzare il quotidiano dovremo anticipatamente inserire nel nostro browser il seguente cookie:
beRCSapps=RCSapps
avente dominio di appartenenza “.corriere.it” e percorso “/”. Vi ricordo che il nome del Cookie sarà la stringa prima del simbolo uguale mentre il suo valore è ciò che ne segue.
La Gazzetta dello Sport sfrutta i Cookie per convalidare l’accesso ai propri contenuti, pertanto per visualizzare il quotidiano dovremo anticipatamente inserire nel nostro browser il seguente cookie:
beRCSapps=RCSapps
avente dominio di appartenenza “.corriere.it” e percorso “/”. Vi ricordo che il nome del Cookie sarà la stringa prima del simbolo uguale mentre il suo valore è ciò che ne segue.
URL di Accesso: http://ilsole24ore2.pagestreamer.com/deploy/YYYYMMDD/SOLE_SOLE/XXX.pdf
Nell’url bisogna sostituire YYYYMMDD con la data del numero che si desidera scaricare e XXX con il numero della pagina desiderata.
Es: Per scaricare la prima pagina del Sole 24 Ore del 25 Maggio 2011 basterà accedere al seguente url: http://ilsole24ore2.pagestreamer.com/deploy/20110525/SOLE_SOLE/000.pdf
È possibile leggerlo direttamente dall’iPad senza alcuna modifica, se invece si desidera accedere alla risorsa attraverso un altro dispositivo (PC, Mac, Android, ecc ecc) è necessario variare l’User Agent del Browser con il seguente:
Mozilla/5.0 (iPad; U; CPU OS 4_3_3 like Mac OS X; it-it) AppleWebKit/533.17.9 (KHTML, like Gecko) Mobile/8J3
Le Figaro
URL di Accesso: http://lefigaro.playsoft.fr/pdf/LeFigaro_DD-MM-YY.PDF
Nell’url bisogna sostituire DD-MM-YY con la data del numero che si desidera scaricare.
Es: Per scaricare le Figaro del Sole 24 Ore del 25 Maggio 2011 basterà accedere al seguente url: http://lefigaro.playsoft.fr/pdf/LeFigaro_25-05-11.PDF
È possibile leggerlo direttamente dall’iPad senza alcuna modifica, se invece si desidera accedere alla risorsa attraverso un altro dispositivo (PC, Mac, Android, ecc ecc) è necessario variare l’User Agent del Browser con il seguente:
Mozilla/5.0 (iPad; U; CPU OS 4_3_3 like Mac OS X; it-it) AppleWebKit/533.17.9 (KHTML, like Gecko) Mobile/8J3
Conclusioni
Come già avevo anticipato nella Responsible Disclosure il mio intento era esclusivamente quello di incentivare gli sviluppatori a migliorare le loro applicazioni e mi complimento pubblicamente per chi in questi mesi ha migliorato il proprio sistema di diffusione dei contenuti.
