Articoli

D3Lab Rapporto Phishing 2013

Denis Frati del D3Lab ha oggi rilasciato il suo rapporto sul mondo del Phishing dello scorso 2013, un ottimo documento realizzato con molta dedizione e la massima volontà di contrastare un fenomeno in continua crescita debito a truffare i navigatori del web! Con grande piacere alcune volte aiuto Denis nell’effettuare analisi sui siti internet compromessi per poter estrarre quanti più dettagli possibili e prevenire futuri attacchi a danno dei clienti del D3Lab, le informazioni raccolte vengono ora pubblicate nelle ventidue pagine del Rapporto D3Lab 2013, documento riassuntivo dell’attività svolta lo scorso anno dall’azienda.

Il documento, pensato per società ed aziende interessate ai servizi proposti da D3Lab e per il law enforcement nazionale, non è disponibile in download ma ne deve essere richiesto via mail aziendale scrivendo a [email protected].

Con molto piacere vi mostro in anteprima alcune pagine del Rapporto per poter rendere partecipi anche i miei lettori nel lavoro che ogni giorno i White Hat effettuato per contrastare l‘abuso dei sistemi informatici!

 Tabnabbing, un caso reale di Phishing

Grazie alla segnalazione di Claudio Rizzo (~Zip~) i primi giorni di Marzo 2014 abbiamo rilevato un particolare attacco di phishing ai danni di Facebook e del portale WhatsApp Hacking, la particolarità di questo attacco è lo sfruttamento della tecnica di Tabnabbing.

Il Tabnabbing è una tecnica di attacco informatico di tipo phishing con un minimo di arguzia in più.
Viene presentato infatti alla vittima un link ad una pagina internet del tutto innocua e con del contenuto interessante. L’utente medio ha ormai l’abitudine di navigare su più tab (schede) all’interno del suo browser e la pagina in questione sfrutta questa abitudine per cambiare d’aspetto nel momento in cui l’utente la lascia aperta per visitare una nuova tab. Il nuovo aspetto rispecchierà in tutto e per tutto quello di una pagina di accesso a dei servizi online in cui vengono chieste username e password (per esempio il sito di posteitaliane, quello di un homebanking oppure la pagina di login di gmail come riportato dal link esterno). La vittima, tornando sulla scheda del sito attaccante, non si ricorderà più che quella deriva da un link non sicuro che ha cliccato, potrà invece pensare che aveva aperto tale pagina senza aver ancora effettuato l’accesso. Ovviamente l’inserimento dei dati in questa pagina verranno inoltrati all’account dell’attaccante e l’utente verrà reinderizzato sul sito reale in modo che non si accorga di essere stato derubato delle credenzialità. {Wikipedia}

Visto il forte interesse a “controllare” le conversazioni altrui di WhatsApp l’utente medio che faceva una ricerca online trovava nei principali risultati il portale “WhatsApp Hacking”, sito ospitato gratuitamente presso un importante provider che offre domini di terzo livello gratuitamente. Il sito in questione è una copia speculare dell’originale http://www.whatsapphack.com ma tradotto in Italiano, il sito civetta era stato costruito per trafugare le credenziali di accesso degli utenti Facebook!

Grazie alla collaborazione del D3Lab siamo riusciti a ricostruire integralmente il portale ed abbiamo riprodotto in locale l’esperienza di navigazione, che vi proponiamo nel seguente video:

Entrando più nello specifico il sito internet era composto da i seguenti file:

  • home.php
  • index.php
  • send.php
  • tabnabbing.js
  • contatti.txt

Il file index.php incorporava questa porzione di codice:

<script language="javascript" src="tabnabbing.js"></script>
<meta charset="UTF-8" />
<title>Whatsapp Hack - Whatsapp Hack Tool</title>

che richiama il file tabnabbing.js che incorpora la seguente porzione di codice:

function createShield(){
div = document.createElement("div");
div.style.position = "fixed";
div.style.top = 0;
div.style.left = 0;
div.style.backgroundColor = "white";
div.style.width = "100%";
div.style.height = "100%";
div.style.textAlign = "center";
document.body.style.overflow = "hidden";

window.location = 'home.php'

var oldTitle = document.title;
var oldFavicon = favicon.get() || "/favicon.ico";

div.appendChild(img);
document.body.appendChild(div);
img.onclick = function(){
div.parentNode.removeChild(div);
document.body.style.overflow = "auto";
setTitle(oldTitle);
favicon.set(oldFavicon)
}

Come è possibile vedere il precedente Java Script crea l’effetto Tabnabbing, una volta che l’utente cambia il focus su un’altra pagina/applicazione automaticamente entra in azione lo script che va a caricare la pagina home.php! Tale pagina emula la pagina di accesso di Facebook con un form che rimanderà al file send.php per il salvataggio delle credenziali:

<form id="login_form" action="send.php" method="post" onsubmit="https://www.facebook.com">

quest’ultimo file send.php contiene invece la seguente porzione di codice che rimanda l’utente sull’autentico portale di Facebook mostrandoli una foto del Concorso Protagoniste della Creatività:

<meta http-equiv="refresh" content="0; url=https://www.facebook.com/photo.php?fbid=539777592726633&set=a.539291452775247.1073741830.539232656114460&type=3&theater">

Il file send.php contiene inoltre lo script di memorizzazione delle credenziali sottratte all’utente, porzione di codice che non riusciamo a mostrarvi perché nidificato all’interno del Hypertext Preprocessor  “<?php” – “?>” ma che abbiamo scoperto salverà le credenziali all’interno del file contatti.txt che al momento della nostra analisi conteneva più di 160 credenziali sottratte come è possibile vedere nel seguente screenshot appositamente oscurato:

Credenziali_Phishing_Web

In conclusione l’utente che cercava online un metodo per leggere le conversazioni di WhatsApp di una terza persona trovava tra i primi risultati di Google il sito internet http://whatsapphack.provider123.com, tale sito era una copia speculare dell’autentico sito www.whatsapphack.com ma tradotto in Italiano e non permetteva il download di alcuna applicazione, ma non appena si cambiava il focus del scheda/pannello del Browser magari per vedere una notifica su Twitter o un altro risultato della ricerca entrava in funzione lo script di Tabnabbing che sostituiva la pagina con un form di autenticazione di Facebook falso debito esclusivamente a sottrarre le credenziali.

Quanto prima provvederò a contattare tutti gli utenti coinvolti e gli avviserò che le loro informazioni sono state trafugate!

Ringrazio Claudio Rizzo per la segnalazione e Denis Frati del D3Lab per il supporto.

phishing

Vi racconterò una breve storia che si sta svolgendo in questi giorni, non tanto per farvi conoscere il mondo del Phising, l’utente medio di questo Blog conosce già, ma sulla correttezza ed onestà che purtroppo manca ad alcune aziende Italiane operati nel settore Web.

Domenica 22 Settembre, la mia compagna ragazza che è la Vice Presidente di una associazione locale, riceve via eMail una comunicazione della Internet Identity scritta in un Italiano maccheronico (probabilmente hanno usato un traduttore) nella quale veniva informata che il loro sito internet viene utilizzato per azioni di Phishing ai danni dell’Istituto di Credito CIBC che loro rappresentano, forniscono ogni dettaglio dell’attacco (Indirizzo Malevolo e IP) e si offrono di aiutarla a risolvere il problema a patto di contattarli all’indirizzo eMail in firma o al numero telefonico. La mail era scritta in maniera corretta e ordinata, ad intuire un ottima serietà dell’azienda!

Il sito internet in questione è sviluppato sulla piattaforma Joomla e le credenziali di amministrazione le ha esclusivamente l’azienda incaricata alla produzione del sito, altre persone hanno un semplice account da Editore ove possono modificare o creare nuovi contenuti ma non hanno permessi ulteriori.
Il dominio nel frattempo era andato offline, Forbidden, compresa la homepage! Probabilmente perché gli attaccanti avevano cambiati i permessi dei file, erroneamente.

La mail ricevuta dall’Internet Identity viene inoltrata agli amministratori del sito, i quali rispondono (copio e incollo):

Continua a leggere

Dave è veramente in grado di leggere la mente? No, sfrutta i Social Network per carpire le vostre informazioni!

Uno spot Belga, segnalatomi da una carissimo amico, sta recentemente spopolando in Europa perché rende l’idea di quanti nostri dati possono essere usati da estranei per fini malevoli.

Nel video, che troverete dopo il salto, vengono rappresentate anche situazioni estreme come il rilevare il proprio saldo del cc o i dati della carta di credito, ma colpisce in pieno lo spettatore trasmettendo un messaggio morale sulla privacy delle nostre informazioni.

Non dimentichiamoci però che un attacco di Social Engineering accurato può veramente fornire ad un malintenzionato tutte le informazioni che vediamo rappresentate nello spot, il continuo crescere delle attività di Phishing è un chiaro dato che sempre più spesso possiamo cascare in un tranello.

Purtroppo è anche lo stesso utente che prende con leggerezza la cautela dei propri dati personali e della propria privacy, impossibile credere che un utente soddisfatto di ricevere la sua prima Carta di Credito la pubblichi su Twitter…ma è una triste realtà! @NeedADebitCar ne è un lampante esempio, in circa 60gg ha recuperato le foto di oltre 60 carte di credito!

Lo spot contiene situazioni estreme, ma paradossalmente realistiche! Fate attenzione alla vostra privacy!

Continua a leggere

Una recente ricerca di Joe Sylve del “Department of Computer Science University of New Orleans” ci spiega come sia possibile effettuare Phishing tramite una eMail con HTML 5.

Come si evince dal flowchart affinchè l’attacco venga portato a compimento devono essere soddisfatte tre condizioni:

  1. Click sul link ricevuto via email;
  2. Click sul pulsante “back” del browser per tornare indietro;
  3. Reinserire la password.

I test eseguiti su un campione di 100 utenti Gmail e 100 utenti Yahoo Mail, hanno avuto successo sul 9,5% dei destinatari.

È possibile scaricare il documento completo della ricerca a questo indirizzo.

Fonte | Gianni Amato

RSA Security è una divisione della EMC Corporation fondata nel 1982 con l’intendo di progettare i migliori sistemi di protezione di dati personali ed aziendali, il nome deriva dall’omonimo sistema crittografico nato nel 1976 dai due ingegneri Whitfield Diffie e Martin Hellman.

Il loro prodotto più diffuso è sicuramente la SecurID, ovvero una chiavetta OTP (One Time Password ) sfruttata principalmente per l’accesso online agli Istituti Bancari ma anche alle infrastrutture aziendali. La SecurID genera una password composta da sei numeri ogni sessanta secondi e visualizzabile attraverso un piccolo schermo posto sulla chiavetta.

Il funzionamento dei SecurID si riassume attraverso i seguenti tre elementi:

  • RSA Authentication Manager: ha il compito di verificare i dati immessi dall’utente;
  • RSA Agent: si installa sulle risorse da proteggere, creando un sottolivello di sicurezza che permette il colloquio con l’Authentication Manager;
  • Tokens: generano i codici numerici denominati Tokencode sincronizzati temporalmente con l’Authentication Manager.

Durante la fase di login l’utente dovrà digitare il Tokencode visualizzato sul display della chiavetta in quale dovrà corrispondere a quello generato dal RSA Authentication Manager, se i dati corrispondono RSA Agent procede ad abilitare l’utente consentendoli l’accesso alle risorse richieste. Importante precisare che per il corretto funzionamento il token e server devono essere perfettamente allineati con il clock UTC, infatti calcoleranno nel medesimo istante lo stesso codice.

Art Coviello, Chief Executive Officer della RSA, attraverso un comunicato stampa ha reso noto che la propria società è rimasta vittima di un sofisticato attacco informatico finalizzato al furto di dati sensibili e del tipo APT (Advanced Persistent Threat), per colpire l’azienda è stato effettuato un Spear Phishing collegato ad una falla 0-Day di Adobe Flash Player.

Lo Spear Phishing non è un attacco generico di Phishing ma è mirato ad un obbiettivo ben preciso e lascia intendere che il mittente sia una persona conosciuta (amico, famigliare, collega o datore di lavoro) abbassando notevolmente la guardia del bersaglio. In realtà le informazioni sul mittente vengono falsificate o ricavate tramite “spoofing”, mentre il phishing tradizionale si propone lo scopo di sottrarre informazioni da singoli utenti le frodi che si basano sullo spear phishing hanno come obiettivo quello di penetrare all’interno del sistema informatico di una società e realizzare un attacco di tipo APT.

Uri Rivner, capo delle nuove tecnologie della RSA, ha rilevato nel suo Blog che l’attacco è accaduto principalmente in tre fasi.
Nella prima fase l’attaccante ha inviato a due piccoli gruppi di dipendenti una eMail con oggetto “Piano di Assunzioni 2011” contenente un file Excell, un dipendente incuriosito ha aperto l’allegato il quale realmente conteneva un malware che ha sfruttato la falla 0-Day di Adobe Flash Player per installarsi sul terminale.
Successivamente l’attaccante ha iniziato la scalata verso gli account più importanti della RSA Security, sfruttando il terminale compromesso ha rubato credenziali di accesso e si è propagato a macchia d’olio in
tutta l’infrastruttura aziendale. Sembrerebbe che le credenziali d’accesso di ogni singolo utente siano utilizzabili su molti terminali della società e non esclusivamente nel terminale in uso dal dipendente, questo ha permesso all’attaccante di identificarsi con le credenziali dell’utente di basso livello (dipendente) nei terminali dei diversi responsabili aziendali rubando ulteriori password e materiale importante.
La terza e ultima fase ha visto l’invio di tutti i documenti rubati ad un computer esterno presso un Hosting Provider, in precedenza violato, dal quale l’attaccante ha recuperato i dati eliminando quasi tutte le tracce.
Brian Krebs, famoso giornalista Americano sul CyberCrime, ha dichiarato che sarebbero stati identificati tre indirizzi IP sfruttati per l’intrusione uno dei quali proveniente dalla P.r.C. (People’s Republic of China) ma ovviamente potrebbe essere stato uno stratagemma per rallentare le indagini.

Inizialmente non si sapeva esattamente cosa era stato sottratto dai sistemi informatici della RSA i giornali più distratti hanno reso noto il furto dell’algoritmo, ma essendo pubblico dal 2000 è facile rubarlo 🙂 piuttosto è possibile sia stata trafugata una Master Key. Infine non dimentichiamoci che la RSA Security non produce esclusivamente SecurID il furto potrebbe riguardare tutt’altro anche un semplice database con l’archivio dei clienti.
Ed è stato proprio Whitfield Diffie ad ipotizzare il furto della Master Key ossia una stringa molto grande, utilizzata come parte integrante dell’algoritmo presente nei server di Authentication Manager. Attraverso la Master Key nei peggiori dei casi l’attaccante riesce a riprodurre dei Tokens gemelli a quelli originali, rendendo così più facile l’accesso ad un sistema informatico protetto.

La notizia più recente è del 7 Giugno, la RSA ha annunciato attraverso un comunicato stampa la sostituzione di  40 milioni di Token SecurID a causa dell’attacco informatico subito a Marzo 2011, questa ammissione avvalora ancora di più la tesi che sia stata trafugata una Master Key ed è pertanto necessario sostituire i token in distribuzione per assicurare la sicurezza dei propri clienti.

Questo avvenimento che ha colpito una delle più imponenti aziende di Sicurezza Informatica ci insegna che non dobbiamo mai abbassare la guardia nemmeno da una eMail inviataci dall’amico di infanzia e soprattutto apportare una corretta politica di IT Security all’interno delle aziende includendo nei corsi tutte le persone che quotidianamente usano un terminale e addestrarli ad evitare un attacco di Ingegneria Sociale che è sicuramente il sistema più diffuso per rubare informazioni importanti.

Scrivo questo articolo per segnalarvi degli attacchi di phishing che sicuramente, come a me, verranno inoltrati anche a tutti voi, proprio in questi giorni.
Non è certo una novità che il sito di Poste Italiane sia oggetto di questi tipi di attacchi ma, visto il periodo Natalizio, a qualcuno farebbe comodo, come dice l’email che ho ricevuto, ricevere €239 inaspettati.
Probabilmente in tanti penseranno: “che fortuna!”, proprio ora farebbero comodo questi soldi per i regali o per rimpolpare i denari già spesi.
Continua a leggere

Nella prima puntata di questa serie, abbiamo parlato dei paesi che si sono messi in evidenza come maggiori fonti di origine degli attacchi informatici di questo 2010.

Oggi parleremo di quali sono i principali obiettivi degli attacchi, cosa ad un hacker veramente interessa.

Qui di seguito la relativa classifica:

  1. 20.38%   Furto di Informazioni
  2. 18.47%   Defacciamento di Siti Web
  3. 14,01%   Diffusione di Malware
  4. 12,74%   Perdite Finanziarie / Disservizio
  5. 04,46%   Disinformazione
  6. 03,82%   Furto di Carte di Credito
  7. 01,91%   Link Spam / Truffe / Dirottamento di Sessioni (Session Hijacking)
  8. 01,27%   Divulgazione di Informazioni / Danni alle Vendite
  9. -0,64%   Worm / Furto di Dati / Estorsione / Inclusione in BotNet / Phising

Rispetto agli anni scorsi, risalta l’incremento di posizioni delle Perdite Finanziarie, giunta nel 2010 alla 4° posizione, ovvero quelle attività che possono causare ingenti entrate economiche, in breve tempo, ai cybercriminali mossi da scopi di realizzare profitti illeciti.

Le attività di “Hacking for Profit” sono essenzialmente realizzate da cybercriminali professionisti, che implementano sempre nuovi metodi per generare ricavi compromettendo direttamente applicazioni web.

Continua a leggere