Alberto Bartoli - Blog

... sottratti dal "bellissimo" malware che opera sui PC ed intercetta i codici di autorizzazione alla transazione inviati via SMS: mi chiedo spesso come facciano i nostri telegiornali a non parlare di queste faccende. 16 delle banche coinvolte sono italiane (40% del totale) 12000 utenti ai quali è stato sottratto del denaro sono italiani (39% del totale) 16.380.000 (sedici milioni e trecentoottantamila) euro che si sono volatilizzati sono di italiani (45% del totale) Siamo primi in tutte le tre classifiche. Germania al secondo posto e Spagna al terzo posto. Fonte: "A Case Study of Eurograbber: How 36 Million Euros was Stolen via Malware"  (spiega molto bene ed in modo molto semplice il funzionamento di questo malware).

Dal Corriere della Sera , che riporta una notizia del Financial Times : Oltre 36 milioni di euro, sui conti di 30 banche europee. Una cifra da capogiro. Rubata da un gruppo di hacker anche di clienti italiani... questa frode ha sfruttato un ... virus che rimaneva inizialmente dormiente sui PC degli utenti, e da lì si trasferiva sui loro smartphone....avendo infettato entrambi i terminali, poteva registrare i codici di verifica che venivano inviati sui cellulari e utilizzarli per creare una sessione di online banking in parallelo . Con quest'ultima venivano effettuati trasferimenti su altri conti. Neanche due settimane fa ho fatto un post su  queste cose (no, io non c'entro con questa truffa...).

Basta procurarsi un kit di sviluppo. SophosLabs ha appena pubblicato una descrizione molto carina di un kit di questo genere. Si tratta di Citadel:  " It comes as a kit that includes a malware builder tool and a collection of server-side components "  (servono per controllare i malware distribuiti in giro per il mondo e per raccoglierne i risultati) .  " The builder is used to create the bot malware (an EXE file) that is sent out to spread infection ". Ha anche un  " built-in Customer Relationship Management (CRM) system so that problems are addressed quickly and effectively. ".  Gli sviluppatori del kit sono molto attivi: " Citadel has been through several significant releases, most recently an upgrade to version 1.3.5.1 in October 2012. ". Occorre abbandonare la visione degli attacchi informatici come attività ludica ed estemporanea. Sono una vera e propria professione: per i pochi che sviluppano kit di questo genere, ma soprattutto ...

Una delle cose che dico da anni, temo da almeno una decina, ahimé, è che preoccuparsi della riservatezza del numero della nostra carta di credito mentre è in transito su Internet ha poco senso. Non perché non sia facile vederlo, ma perché nessun attaccante perderebbe il proprio tempo attendendo di vedere passare un numero di carta di credito quando basta penetrare un server scelto opportunamente per acchiapparne centinaia o migliaia. Proprio in questi giorni hanno scoperto un gruppo di hacker che dalla Romania hanno preso circa mezzo milione di numeri di carta di credito australiane, prelevando in media 1000 $ da trentamila di esse. Ovviamente non si sono messi in attesa di vedere passare i numeri giusti, ma sono entrati in una manciata di "piccoli rivenditori" (che avevano abilitato il Remote Desktop Protocol di Windows ma non lo avevano configurato opportunamente; probabilmente non sapevano neanche di averlo abilitato). http://nakedsecurity.sophos.com/2012/11/30/roma...

http://gcn.com/Articles/2007/06/02/Rick-Rashid--Innovation-pipeline.aspx?Page=2&p=1 A lot of times, when people talk about applied research, they're really talking about advanced product development. That's not really research. Research is something you can publish in a peer-reviewed conference or journal. It needs to stand up to the best people in your field. Rick Rashid, Director of Microsoft Research

Talvolta mi capita di affermare che i moderni malware sono in grado di: Installarsi nel browser e rimanere nascosti. Quando l'utente si collega con un sito per il quale il malware è stato preparato (tipicamente un sito di e-banking): Attendere che l'utente si autentichi, eventualmente anche con un marchingegno one-time password, smartcard o cose del genere. Eseguire transazioni non richieste dall'utente, inviando autonomamente messaggi HTTP al sito (ad esempio bonifici verso un conto corrente predefinito di un money launder). Nascondere queste transazioni dagli estratti conto visualizzati dal browser. Esistono numerosi casi emersi alla cronaca di recente ( https://www.evernote.com/pub/bartolialberto/news e poi cercare nella search box 'tag:banking tag:malware'). Quello che probabilmente non è chiaro è quanto sia semplice realizzare il punto 2. Un articolo del 2007 scritto da dei ricercatori di Stanford (nota: cinque anni fa) mostra esempi di codice pe...

Tutte le volte che parlo di sicurezza dico sempre che il punto di partenza fondamentale è chiedersi cosa può fare l'attaccante e da quali tipologie di attacco ci si vuole difendere (o si ritiene che valga la pena difendersi, o ci si possa permettere di difendersi). Questa stessa considerazione è stata fatta da una persona di altissimo livello nell'analizzare il recentissimo scoop della love (o sex) story tra il capo della CIA ed una sua amante: "Understanding the threat is always the most difficult part of security technology ,” said Matthew Blaze, an associate professor of computer and information science at the University of Pennsylvania and a security and cryptography specialist. “If they believed the threat to be a government with the ability to get their login records from a service provider, not just their spouse, they might have acted differently.” ( link )