News minacce informatiche (virus,trojan,spyware,phishing) Update 21/10/2010]

McAfee: Paper Tecnico sui Rootkit
http://www.tweakness.net/immagini/news/spacer.gifhttp://www.tweakness.net/immagini/news/spacer.gif LINK: http://www.tweakness.net/immagini/news/spacer.gifRootkit Parte 2: Bollettino Tecnicohttp://www.tweakness.net/immagini/news/spacer.gifThreat Centerhttp://www.tweakness.net/immagini/news/spacer.gifRootkit Detective

http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/imgarchive/Rootkit_3.jpgI ricercatori di McAfee hanno esaminano le tecnologie che rendono possibili attacchi malware "stealth" sulla piattaforma Microsoft Windows; i risultati dello studio suggeriscono che le nuove tecniche rootkit continueranno nei prossimi anni a mettere alla prova la comunità della sicurezza. McAfee ha annunciato oggi la disponibilità di Rootkit "Parte 2": A Technical Primer (Bollettino Tecnico), un whitepaper creato per aiutare i professionisti della sicurezza informatica a comprendere meglio le tecnologie "stealth" sulla piattaforma Microsoft Windows. Il whitepaper è la seconda parte di una serie dedicata ai rootkit, ed è scaricabile dal McAfee Threat Center, anche in lingua italiana.

http://www.tweakness.net/immagini/links.gif McAfee: Threat Report "Issue 2" - Altre


Dal whitepaper: "In Rootkit parte 1: The Growing threat (la minaccia che avanza) abbiamo sottolineato un'importante tendenza emergente nel settore della sicurezza informatica: la maggiore diffusione di tecnologie stealth, definite rootkit, nel malware. I rootkit proteggono file, processi e chiavi di registro del malware in modo da poter continuare indisturbati l'esecuzione di attività nocive senza che l'utente ne sia a conoscenza. E quando un utente scopre un'infezione da rootkit, la rimozione è spesso troppo complessa per un utente comune. In questo whitepaper, prendiamo in esame le tecnologie che rendono tali azioni furtive possibili sulla piattaforma Microsoft Windows. Dopo una breve spiegazione dell'architettura di sicurezza di base di Windows, esploreremo i molti metodi scoperti per nascondere file, processi e chiavi di registro. Inizieremo con i rootkit della modalità utente che operano allo stesso livello di privilegi dell'utente che esegue l'installazione. La maggior parte delle comuni tecnologie stealth attualmente rientrano in questa categoria. I rootkit che operano a un livello superiore, il livello di privilegi del sistema, d'altra parte, non sono poi così comuni, ma sono molto difficili da rimuovere proprio perché i relativi processi presentano privilegi di sistema".

In conclusione: "Benché le tecniche stealth non siano realmente nuove per il malware, il recente e rapido aumento sia per prevalenza che sofisticatezza dei rootkit Windows porta alla luce una tendenza allarmante nell'evoluzione del malware. L'effetto di legittimazione del software commerciale che impiega tecnologie stealth per il eseguire il cloak dei propri file ed elaborarli rinforza soltanto la possibilità che queste tecnologie siano qui per restarci. Spinte da incentivi finanziari, le innovazioni nei metodi stealth e nei rootkit ci allontanano dalla modalità utente e ci portano verso le tecniche della modalità kernel. Queste nuove tecniche sfideranno la comunità di sicurezza, creando tentativi di malware sempre più virulenti e difficili da debellare, praticamente quasi impossibili da rilevare ed eliminare. Per il momento l'unico ostacolo tecnico in grado di bloccare questo passaggio all'hooking della modalità kernel è la scarsa compatibilità tra piattaforme di queste intercettazioni di livello inferiore. Nelle prossime documentazioni discuteremo e analizzeremo le strategie per combattere i rootkit".

"Il numero di rootkit sottoposti all'attenzione di McAfee Avert Labs nel primo trimestre del 2007, rispetto al primo trimestre del 2006, è diminuito del 15% - dimostrando che siamo migliorati nell'individuare le famiglie e le tecniche esistenti," ha affermato Jeff Green, senior vice president, McAfee Avert Labs. "Le tecniche rootkit, individuate per la prima volta nel primo trimestre del 2006, includevano fondamentalmente i Trojan che cercavano di incorporare il comportamento dei rootkit. Ora vediamo più campioni delle esistenti famiglie di rootkit, mentre è rallentato il numero di nuove famiglie che utilizzano le tecniche rootkit." Negli ultimi cinque anni, McAfee ha registrato un significativo aumento nel numero di componenti stealth basati su Windows. Nel 2001 esistevano solo 27 componenti rootkit, mentre sono stati individuati quasi 2400 componenti rootkit nel 2006. McAfee Avert Labs prevede oltre 2000 componenti stealth basati su Windows per la fine del 2007.

Ricordiamo che recentemente McAfee ha reso disponibile un nuovo strumento gratuito anti-rootkit, McAfee Rootkit Detective Beta, programmato e sviluppato da McAfee Avert Labs per rilevare e rimuovere in maniera pro-attiva i codici rootkit in esecuzione su un sistema. Maggiori informazioni sul software e link per il download sono disponibili in una pagina dedicata sul sito McAfee.

into ActiveX e siti web erotici: attenti all’infezione


http://www.anti-phishing.it/image.news/erotic.girls.jpgAvventurarsi tra siti erotici, ha sempre rappresentato una serie minaccia per la sicurezza dei sistemi informatici, il rischio di virus, spyware, dialer ed ogni altro tipo di malware è sempre alto, e la minima distrazione può risultare fatale. Come nell’ultimo caso rilevato dai PandaLabs:

ImageAccesActiveXObject raggiunge i computer facendo credere ai navigatori di essere un ActiveX da installare per poter accedere ad un sito con immagini erotiche. Quando si visitano determinate pagine Web si apre una finestra nella quale si offrono fotografie pornografiche e, se l’utente vuole proseguire, ne compare un’altra dove lo si informa che deve scaricare un control per poter accedere ai contenuti desiderati, invece viene eseguito il download del codice maligno.

“Prima d’ora avevamo rilevato adware sotto forma di codici per guardare video, ma mai qualcosa di simile a ActiveX per accedere a delle immagini. Questa è un’altra strategia per ingannare i navigatori che pensano di dare il consenso al download di un tool legale, quando in realtà stanno permettendo all’adware di installarsi” spiega Luis Corrons, Direttore Tecnico dei Laboratori di Panda Software.

Una volta sul computer, ImageAccesActiveXObject porta gli utenti ad una pagina con fotografie erotiche, che non sono però visibili, come se il dominio non fosse disponibile. I Laboratori di Panda Software hanno preparato un video per dimostrare come funziona l’inganno. Tra questi si trova SpyLocked, progettato per mostrare all’utente messaggi di allarme per avvisare che il computer è infetto, individuando ImageAccessActiveXObject, il quale non può, però, essere rimosso fino a quando non viene registrato il prodotto.

Luis Corrons continua: "abbiamo già rilevato questo adware con nomi quali SpywareQuake o VirusBurst. In pratica, quando gli autori si accorgono che i loro tool sono ampiamente riconosciuti e nessuno li scarica più, semplicemente ne cambiano il nome”. ImageAccesActiveXObject effettua anche il download dell’adware Securitytoolbar, che ha il compito di installare una falsa toolbar e un BHO (Browser Helper Object). Esso mostra avvisi pop-up e crea sul desktop dei link a certe pagine Web.


Fonte: Anti-Phishing Italia

hishing: il massacro della Virginia Tech potrebbe essere il prossimo obiettivo


http://www.anti-phishing.it/image.ne...ginia.tech.jpgPochi minuti dopo che il mondo apprendeva i drammatici fatti che avvenivano nel campus della Virginia Tech, costati la vita a 32 persone, qualcuno registrava utilizzando soprattutto Godaddy, il principale hosting provider americano, 33 siti web con nomi ed elementi legati al campus degli orrori.

Il motivo? Nuovi attacchi di phishing, anche se ora si tratta solo dell’ipotesi più probabile, visto che nessuno degli appositi siti web è stato ancora utilizzato, mentre nella Rete corre veloce l’allarme per il verificarsi di nuovi casi di sciacallaggio, gli ultimi dei quali legati all’uragano Katrina nel settembre 2005.

Siti come virginiatechshooting.com o vatechmassacre.net sono attualmente monitoratici e la registrazione di nuove potenziali trappole è tenuta sotto controllo, mentre le aziende di hosting provider restano a guardare e se ne lavano la mani, visto che “il fatto non sussiste” e sino a quando non verranno utilizzati per scopi criminali, da parte loro non ci potrà essere nessun intervento.

Così come dichiarato da Elizabeth Driscoll, responsabile alle pubbliche relazione di GoDaddy, che contatta dalla rivista Wired, la prima a notare il verificarsi del problema, ha dichiarato di non essere assolutamente a conoscenza dei fatti e che in ogni caso - <<sono cosa che accadono in seguito al verificarsi di fatti importanti, positivi o negativi che siano, la gente è spinta ad acquistare nomi a dominio…Non abbiamo la capacità di monitorare ogni dominio registrato ”.

Questi i siti registrati, i quali in un prossimo futuro potrebbero essere utilizzati per la richiesta di donazioni in favore delle vittime, anche se in realtà esclusivamente a beneficio del phisher:

virginiatechshooting.com
virginiatechshooting.net
virginiatechshooting.org
virginiatechshooting.info
virginiatechshooting.us
vatechshooting.com
vatechshooting.net
vatechshooting.org
vatechshooting.info
vatechshooting.us
vatechshooting.biz
vtshooting.com
vtshooting.info
vatechmassacre.com
vatechmassacre.net
vatechmassacre.info
vatechmassacre.biz
vtmassacre.com
vtmassacre.net
vtmassacre.org
vtmassacre.info
virginiatechrampage.com
vatechrampage.com
vtrampage.com
virginiatechmurders.com
virginiatechmurders.net
virginiatechmurders.org
virginiatechmurders.info
virginiatechmurders.us
vatechmurders.com
vtmurders.com
hokieshootings.com
hokiemassacre.com
blacksburgshootings.com

Fonte: Anti-Phishing Italia

Microsoft Annuncia Portale Malware
http://www.tweakness.net/immagini/news/spacer.gifhttp://www.tweakness.net/immagini/news/spacer.gif LINK: http://www.tweakness.net/immagini/news/spacer.gifGullotto al RSAhttp://www.tweakness.net/immagini/news/spacer.gifMalware Protection Centerhttp://www.tweakness.net/immagini/news/spacer.gifSIR (Luglio-Dicembre 2006)

http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/imgarchive/...al_Malware.jpg Ad inizio Luglio Microsoft lancerà la versione finale del suo portale dedicato alla sicurezza, Microsoft Malware Protection Center, già oggi disponibile online in versione preview. Destinato ai clienti Microsoft, ai partner ed ai professionisti nel campo della sicurezza, il sito, versione virtuale dei laboratori di ricerca dell'azienda, riporta attualmente le liste delle famiglie e delle varianti malware più attive che mettono a rischio i prodotti del colosso. Il portale sarà anche sfruttato da Microsoft come piattaforma per promuovere i propri prodotti software di sicurezza. Si tratta di uno dei tre annunci fatti da Vinny Gullotto, General Manager del Microsoft Malware Protection Center, durante il suo intervento alla conferenza RSA Japan.

Microsoft sta collaborando attivamente con gli atri security vendor per ottenere e divulgare informazioni sui malware, e partendo da questo intento recentemente ha deciso di espandere il suo Malware Protection Center, con l'apertura di due nuove divisioni, in Giappone ed in Europa (Dublino), che si vanno quindi ad aggiungersi agli attuali laboratori di ricerca presso i quartieri generali di Redmond. L'espansione a livello territoriale del centro di protezione malware porterà ad un migliore capacità di realizzazione di definizioni di codici nocivi e di reazione contro le minacce informatiche. I due nuovi centri ed i rispettivi team saranno gestiti, oltre che da Gullotto, anche da Dan Wolff (Giappone), proveniente da McAfee, e Katrin Totcheva (Dublino), precedentemente in forze a F-Secure.


Infine Microsoft ha pubblicato la seconda versione del suo SIR (Security Intelligence Report), un report che secondo l'azienda offre un "understanding" complessivo del tipo di minacce che gli utenti di Windows si trovano a dover fronteggiare ai giorni d'oggi. Il report evidenzia le tendenze osservate dopo l'analisi dei dati che Microsoft ha collezionato tra il 1 Luglio e il 31 Dicembre 2006, da vari fonti, tra cui i suoi prodotti Microsoft MSRT (Malicious Software Removal Tool) e Windows Defender. Questi due strumenti presentano le più vaste basi utente di soluzioni e servizi di sicurezza Microsoft customer-focused. MSRT ha una user base di più di 310 milioni di computer singoli; secondo Microsoft durante la seconda metà del 2006, lo strumento è stato eseguito 1.8 miliardi di volte. L'azienda afferma anche l'esistenza di più di 18 milioni di clienti attivi di Windows Defender, antispyware gratuito per XP, integrato in Vista.

Un dato interessante che emerge dal Security Intelligence Report è che nel 2006 il numero di vulnerabilità divulgate in maniera responsabile è aumentato del 41% rispetto all'anno precedente. Infatti nella seconda metà del 2006 sono state divulgate più vulnerabilità di ogni singolo anno tra il 2000 ed il 2004. Il report inoltre mette in evidenza la tendenza delle minacce informatiche a divenire sempre più sofisticate. Secondo il fact sheet: "In rapporto agli anni precedenti, il 2006 ha visto la disclosure di una percentuale molto maggiore di vulnerabilità che sono considerate più difficili da scoprire a causa del livello di complessità richiesto per sfruttarle".

Ad ogni modo, mentre i malware stanno diventando sempre più sofisticati, anche i ricercatori di sicurezza sembrano sta riuscendo a tenere il passo. Una tendenza evidenziata dal SIR vede i ricercatori realizzare strumenti sempre più potenti, scoprire problemi sempre più complessi e difficili, estendere la propria attenzione alle applicazioni, e usare tecniche sempre più originali, come il "file format fuzzing".

http://www.tweakness.net/immagini/news/spacer.gif

Vista UAC non Bloccherà i Malware
http://www.tweakness.net/immagini/news/spacer.gifhttp://www.tweakness.net/immagini/news/spacer.gif LINK: http://www.tweakness.net/immagini/news/spacer.gifArticolo fonte @ Zero Day Bloghttp://www.tweakness.net/immagini/news/spacer.gifUAC Overviewhttp://www.tweakness.net/immagini/news/spacer.gifBlog di Russinovich

http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/imgarchive/Vista_Malware2.jpgMark Russinovich, fondatore di Sysinternals e da qualche mese in forze al colosso di Redmond come technical fellow della Platform and Services Division, ha ammesso che, nonostante tutti i "posti di blocco" anti-malware integrati in Windows Vista, i codici nocivi, virus, Trojan e rootkit, continueranno a proliferare minacciando gli utenti di Windows, man mano che gli autori di malware si adattano al nuovo sistema.

Russinovich ha utilizzato il suo intervento alla conferenza di sicurezza CanSecWest di Vancouver per discutere l'implementazione di UAC (User Account Control) in Windows Vista e per chiarire che in futuro questa funzionalità non potrà essere considerata una barriera totale conto i codici nocivi. Russinovich ha affermato: "Si tratta del migliore tentatio fatto per innalzare le barriere ed impedire ai malware di modificare il sistema operativo, ma non è un confine di sicurezza". In un descrizione semplificata del panorama della minacce informatiche nel mondo di Vista, Russinovich ha descritto gli autori di malware come ISV che devono programmare per un ambiente "standard user".


"Non esiste garanzia che i malware non possano eseguire un hijack del processo di elevazione di privilegi o compromettere un applicazione con privilegi elevati", ha ribadito Russinovich dopo aver fornito una descrizione dettagliata del funzionamento di UAC in tandem con Internet Explorer (con Protected Mode) per limitare i danni apportati dai file nocivi. Anche in un contesto "standard user", quindi privo di privlegi di amministrazione, i codici nocivi possono sempre accedere in lettura a tutti i dati dell'utente, possono nascondersi sfruttando tecniche rootkit user-mode e possono controllare a quali applicazioni l'utente ha accesso (si pensi quindi alla disattivazione di programmi di sicurezza). Russinovich ha aggiunto: "Vedremo i codici malware evolversi nelle loro tecniche di elevazioni".

Il technical fellow del colosso ha anche dimostrato uno scenario di attacco di social engineering nel quale un prompt di elevazione fasullo può essere usato per ingannare l'utente inducendolo a cliccare su "allow" per offrire diritti elevati ad un file nocivo. Russinovich prevede un futuro un cui gli autori di malware creeranno programmi in grado di garantirsi privilegi per saltare le impostazioni di account e disabilitare i processi di sicurezza o svilupperanno sistemi di "elevation hijacking" generale o application-specific. Si sfrutteranno tecniche di spoofing dei credential prompt e si troverà eventualmente il modo di creare un processo di integrity level intermedio nel account di amministrazione, in modo da avere accesso a tutti i dati di amministrazione ed iniettare codice nell'account per eseguire ulteriori elevazioni di privilegi non autorizzate. Lo scopo sarà quello di vivere in Vista senza dover violare l'intera macchina, sfruttando appieno l'ambiente standard user, creando botnet e rubando keystroke. Russinovich ha ribadito: "Le elevazioni sono una convenienza e non un security boundary", prevedendo che Windows si evolverà ulteriormente per promuovere il concetto di utente standard e sistemi quali installazioni per-user ed elevazioni di protezione.

QuickTime: Falla Critica Corretta
http://www.tweakness.net/immagini/news/spacer.gifhttp://www.tweakness.net/immagini/news/spacer.gif LINK: http://www.tweakness.net/immagini/news/spacer.gifQuickTime 7.1.6http://www.tweakness.net/immagini/news/spacer.gifAdvisory Applehttp://www.tweakness.net/immagini/news/spacer.gifAdvisory ZDI

http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/imgarchive/QuickTime.jpgPer la terza volta quest'anno Apple ha rilasciato un aggiornamento di protezione per il suo media player QuickTime, a correzione di un vulnerabilità di sicurezza che poteva portare all'esecuzione di codice arbitrario sui sistemi a affetti. La falla è stata scoperta come parte di un contest "PWN to Own" hack-a-Mac durante la conferenza CanSecWest. Apple accredita il ricercatore Dino Dai Zovi e TippingPoint Zero Day Initiative per la segnalazione del problema di sicurezza. La scoperta della vulnerabilità è stata molto pubblicizzata nei giorni scorsi, perché TippingPoint aveva messo in palio ben $10.000, come premio, per chi avesse sfruttato una vulnerabilità non ancora conosciuta da Apple.

Due giorni fa Apple ha rilasciato una nuova versione di QuickTime che corregge questa vulnerabilità critica. Tuttavia i ricercatori di sicurezza restano in guardia, perché attacchi exploit derivati potrebbero presto iniziare a diffondersi in-the-wild. US-CERT classifica la vulnerabilità al massimo rischio nel suo sistema di rating e gli esperti di sicurezza raccomandano a tutti gli utenti del software (per Windows e per Mac) di aggiornare al più presto la propria versione.


http://www.tweakness.net/immagini/links.gif QuickTime 7.1.5 e iTunes 7.1

Secondo l'advisory di Apple, la vulnerabilità (CVE-2007-2175) affligge i sistemi Mac OS X v10.3.9, Mac OS X v10.4.9, Windows XP SP2 e Windows 2000 SP4. Il bug interessa comunque anche Windows Vista tramite Internet Explorer 7. L'exploit della falla può essere condotto con successo inducendo un utente a visitare un sito web modificato ad arte. Apple riporta: "In QuickTime per Java esiste un problema di implementazione che può consentire di leggere e scrivere fuori dai confini di un heap allocato. Inducendo un utente a visitare un sito web contenente un applet Java nocivo, un attacker è in grado di sfruttare il problema ed eseguire codice arbitrario. L'update corregge il problema implementando un bound checking aggiuntivo nella creazione di oggetti QTPointerRef".

Dall'advisory di Zero Day Iniziative: "La falla risiede nelle estensioni QuickTime Java (QTJava.dll), specificatamente nella routine toQTPointer() esposta tramite quicktime.util.QTHandleRef. La mancanza di sanity checking sui parametri passati alla routine, tramite la Java Virtual Machine (JVM), consente ad un attacker di scrivere valori arbitrari nella memoria. Questo può essere sfruttato per eseguire codice arbitrario nel contesto dell'utente corrente. Esempi di vettori di esecuzione codice includono Microsoft Internet Explorer, Mozilla Firefox e Apple Safari. Questa vulnerabilità affligge le ultime versioni di MacOS e Windows, inclusi MacOS 10.4.9 e Windows Vista". Terri Forslof, manager del team security response di TippingPoint, ha affermato durante una intervista di essere rimasta sorpresa dalla rapidità con cui Apple è riuscita a sviluppare, testare e rilasciare il fix per la vulnerabilità. Secondo Zero Day Initiative, il problema era stato segnalato Apple il 23 Aprile scorso, poco più di una settimane prima del rilascio dell'aggiornamento (1 Maggio). QuickTime 7.1.6 sta venendo distribuito automaticamente tramite Software Update, ma gli utenti possono anche scaricarlo manualmente dal sito web dell'azienda.

Apple ha rilasciato due giorni fa anche un versione aggiornata di un update di protezione originariamente reso disponibile il mese scorso. La versione 1.1 della patch 2007-004 corregge un paio di errori nel fix originale che potevano causare l'interruzione delle connessioni senza fili e limitazioni di accesso FTP su Apple FTPServer.

Segnaliamo infine una interessante intervista realizzata da ComputerWorld a Dino Dai Zovi. Il ricercatore che ha scoperto la vulnerabilità in QuickTime afferma che trovare le falle è simile ad andare a pesca, e in particolare offre la sua opinione sul sistema operativo attualmente più sicuro tra Windows Vista e Mac OS X. Il ricercatore afferma: "Ho trovato che la qualità del codice, almeno in termini di sicurezza, è molto migliore globalmente in Vista rispetto a Mac OS X 10.4. Risulta evidente, osservando le componenti affette nelle patch di protezione, che il Security Development Lifecycle (SDL) di Microsoft ha generato un numero minore di vulnerabilità nel codice scritto più di recente. Spero che sempre più vendor di software seguano questo esempio nello sviluppo di metodologie di software security development pro-attivo".

MoAxB": Un Mese di Bug ActiveX
http://www.tweakness.net/immagini/news/spacer.gifhttp://www.tweakness.net/immagini/news/spacer.gif LINK: http://www.tweakness.net/immagini/news/spacer.gifProgetto MoAxB (Month of Active X Bug)http://www.tweakness.net/immagini/news/spacer.gifSA25092http://www.tweakness.net/immagini/news/spacer.gifSA25077

http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/imgarchive/MoAxB.jpgIeri è partito il MoAxB Project (Month of Active X Bug), progetto che mira alla divulgazioni di nuove vulnerabilità di sicurezza dei controlli Active X con relativi codici exploit per tutto il mese di Maggio, sulla scia di altri simili progetti che hanno fatto capolino in rete nei mesi scorsi, tra cui i recenti Month of PHP Bug (MoPB) e Month of Apple Bug (MOAB) e l'originario Month of Browser Bug (MOBB). Dal blog ufficiale di MoAxB, tramite il quale sono già state pubblicate informazioni sulle prime due falle di sicurezza: "Sono qui e sono orgoglioso di annunciare che a Maggio 2007 avrà inizio il Month of ActiveX Bug (MoAxB). La maggior parte delle falle sarà di tipo DoS (ma non preoccupatevi ci saranno alcune falle di esecuzione codice) e questo perché MoAxB ha un solo senso: informare gli sviluppatori sul rischio derivante dall'uso dei controlli ActiveX. Naturalmente tutti sono invitati a pubblicare un bug ActiveX, chiedere informazioni o semplicemente pubblicare commenti".


Shinnai, l'hacker italiano che ha dato vita al progetto, ha già pubblicato i dettagli relativi alle prime due vulnerabilità, che interessano rispettivamente i controlli PowerPointViewer.ocx e ExcelViewer.ocx. Si tratta di exploit DoS, che adeguatamente modificati possono consentire attacchi di esecuzione codice.

MoAxB #01: PowerPointViewer.ocx 3.1. Si tratta di un DoS che interessa PowerPointViewer.ocx, componente che permette di visualizzare, creare e modificare file PPT. Alcuni metodi non sono in grado di gestire particolari condizioni e questo causa il crash dell'applicazione che sfrutta la componente. Secunia, nota azienda di security monitoring, ha pubblicato un advisory dedicato al problema di sicurezza, ed ha classificato il problema come altamente critico. Secondo Secunia infatti la falla è causata da errori boundary nel controllo ActiveX PowerPoint Viewer che possono essere sfruttati per causare sovraccarichi del buffer tramite l'uso di argomenti eccessivamente lunghi passati a certi metodi (come "HttpDownloadFile()" o "OpenWebFile()"). Secondo Secunia l'exploit di questa falla potrebbe consentire esecuzione di codice arbitrario durante la visita su un sito web nocivo. La vulnerabilità è stata verificata nella versione 3.1.0.3 del controllo. MoAxB #02: ExcelViewer.ocx 3.1. Si tratta di un problema di sicurezza del tutto simile a quello precedente che affligge questa volta il controllo ActiveX Excel Viewer (ExcelViewer.ocx). Anche Secunia fornisce la medesima spiegazione della vulnerabilità, verificata nella versione 3.2.0.5 del componente. Anche in questo caso un exploit condotto con successo potrebbe consentire l'esecuzione di codice arbitrario nel sistema attaccato.

Shinnai ha testato i due problemi di sicurezza su Windows XP Professional SP2 con tutte gli aggiornamenti di protezione e Internet Explorer 7. Tutti i software che usano questi OCX sono vulnerabili. Come workaround temporaneo Secunia suggerisce di impostare un kill-bit via registro per i due controlli vulnerabili, in modo da disattivarli ed impedire attacchi exploit. Harry Waldron, un Microsoft MVP che mantiene un blog dedicato alla sicurezza, commenta: "Questi progetti 'Month of', nell'ambito dei quali vengono divulgati pubblicamente exploit funzionanti, spesso fanno più danno che bene alla causa della sicurezza. La disclosure privata è un metodo più sicuro per condividere informazioni sulle vulnerabilità con i vendor software interessati.".

Tweakness.net ha contattato direttamente Shinnai per un commento: D: Non pensi che questo tipo di progetti possa essere più dannoso per la sicurezza generale, in particolare degli utenti finali, rispetto a forme di disclosure privata con il vendor interessato? Shinnai: "Gli exploit che pubblico sono "volutamente" dei semplici DoS e, trasformarli in qualcosa di più richiede conoscenze non indifferenti e quantità di lavoro discrete. [In riferimento agli advisory pubblicati da Secunia] Noterai che la vera è propria vulnerabilità consiste in uno stack overflow e che, se sfruttato adeguatamente, può provocare esecuzione arbitraria di codice. Ho, ad esempio, evitato di pubblicare due altri stack overflow (che non hanno nulla a che fare col MoAxB) più 'espliciti' e sto aspettando che il vendor pubblichi prima un fix". D: Perchè hai scelto i controlli ActiveX per il tuo progetto? Shinnai: "A questo non saprei rispondere in maniera precisa. Primo, perchè sono estremamente pericolosi se usati in maniera scorretta. Secondo, perchè chi spende cifre talvolta sostanziose per acquistare un prodotto, dovrebbe sapere a cosa va incontro. Terzo, perchè li trovo divertenti".

Attivazione Windows? No Trojan!
http://www.tweakness.net/immagini/news/spacer.gifhttp://www.tweakness.net/immagini/news/spacer.gif LINK: http://www.tweakness.net/immagini/news/spacer.gifTrojan.Kardphisherhttp://www.tweakness.net/immagini/news/spacer.gifSymantec SR Bloghttp://www.tweakness.net/immagini/news/spacer.gifIE7 Malware @ spywaresucks

http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/imgarchive/Kardphisher.jpgI ricercatori di Symantec hanno segnalato un nuovo codice Trojan in-the-wild che si finge un programma di attivazione per Windows con lo scopo di indurre malcapitati utenti ad inserire informazioni sulle proprie carte di credito nel tentativo di "rianimare" i propri sistemi. Il malware utilizza una tecnica di ingegneria sociale incentrata sulle recenti iniziative antipirateria attuate dal colosso di Redmond.

Il codice, classificato come Trojan.Kardphisher da Symantec, non è molto "tecnico", scrive Takashi Katsuki, ricercatore dell'azienda di sicurezza sul blog ufficiale del Security Response. "Si tratta in effetti solo di un altro attacco di social-engineering. La cosa che lo rende interessate è che il suo autore si è ovviamente impegnato molto per farlo sembrare legittimo".


Al primo riavvio di una macchina infetta il Trojan mostra una schermata (ben realizzata per sembrare ufficiale) in cui si avverte che la copia di Windows in uso è stata attivata da qualcun altro. "Per aiutare a ridurre la pirateria del software, vi preghiamo di attivare nuovamente la vostra copia di Windows adesso … Vi chiederemo di inserire dettagli di pagamento, ma NON saranno richieste transazioni sulla vostra carta di credito". Se l'utente seleziona "No", il malware spenge il computer. Viceversa, proseguendo nel processo di attivazione fasullo, all'utente viene mostrata una seconda schermata in cui viene chiesto di inserire nome e dettagli sulla carta di credito, che sono poi trasmessi al server controllato dai cybercriminali. Durante la procedura non è possibile eseguire il Task Manager o qualsiasi altra applicazione.

Katsuki commenta: "Sicuramente quasi tutti si accorgeranno che qualcosa di strano sta accadendo, e si spera che poche persone cadranno vittima del trucco inserendo i dettagli della propria carata di credito. Sfortunatamente tuttavia anche le persone che non sono portate a svelare i propri dettagli questa volta potrebbero diventare vittime la prossima volta. Dopo tutto, se non si seguono le istruzioni a schermo, il PC viene spento immediatamente. Questo Trojan ci insegna una buona norma: Non fidarsi di nessuno".

Tutti gli utenti dovrebbero evitare messaggi di posta sospetti o altri tentativi di richiesta di attivazione del proprio ambiente Windows. Microsoft non invia e-mail per questo processo e non chiede dettagli della carta di credito o altre informazioni personali in questa procedura. L'attivazione di Windows è normalmente un processo "una tantum" richiesto durante il processo iniziale di installazione del sistema. Katsuki conclude: "A volte i creatori di codici Trojan tentano di impersonare Microsoft, banche, o anche organizzazioni governative. Indipendentemente dal contenuto dei messaggi di avviso, è necessario assicurarsi della loro autenticità prima di fornire dettagli personali, finanziari o simili. È molto meglio dubitare di una richiesta legittima fino ad una verifica adeguata, che fidarsi ciecamente di un messaggio semplicemente perchè sembra provenire da una fonte fidata".

Segnaliamo inoltre che in questi giorni stanno circolando nuovamente messaggi fasulli relativi a un fantomatico download di IE7 beta 2, che contengono un codice Trojan, fortunatamente già riconosciuto in vario modo dalla maggior parte dei software antivirus. Avevamo già parlato in una news dedicata di questo tipo scam, che fa uso di una tecnica di spoofing per apparire ai destinatari come inviato dall'indirizzo admin[at]microsoft[dot]com e che include una immagine (ben realizzata) relativa ad internet Explorer 7. Maggiori informazioni sui nuovi messaggi sono state pubblicate da Sandi Hardmeier, Microsoft MVP, sul blog "Spyware Sucks".

Worm Silly Sfrutta le Memorie USB
http://www.tweakness.net/immagini/news/spacer.gifhttp://www.tweakness.net/immagini/news/spacer.gif LINK: http://www.tweakness.net/immagini/news/spacer.gifArticolo fonte @ Sophoshttp://www.tweakness.net/immagini/news/spacer.gifW32/SillyFD-AA @ Sophoshttp://www.tweakness.net/immagini/news/spacer.gif

http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/imgarchive/Silly_Worm.jpgGli esperti di sicurezza hanno avvertito dell'esistenza di un nuovo worm che si diffonde sfruttando i drive rimovibili come le chiavette USB, in controtendenza con i metodi più recentemente adottati dai virus writer per la distribuzione dei loro codici.

Secondo quanto riporta l'azienda antivirus Sophos, W32/SillyFD-AA si lancia automaticamente quando una periferica rimovibile infetta viene collegata al computer, sfruttando un file autorun.inf nascosto, creato specificatamente per questo scopo. Il worm è in grado di rilevare drive rimovibili nel sistema (floppy disk, memorie USB, etc.) ed infettarli in modo da garantire l'esecuzione di una copia del codice nocivo al successivo collegamento dei dispositivi a PC Windows. SillyFD-AA si autocopia nei drive rimovibili in un file nascosto "handydriver.exe", ed invarie cartelle nel sistema ospite. Inoltre modifica il titolo delle finestre di Internet Explorer aggiungendo la frase "Hacked by 1BYTE" e modifica varie chiavi di registro per disattivare la visualizzazione dei file nascosti in Explorer e bloccare Regedit.


Graham Cluley, senior technology consultant di Sophos, commenta: "Con le chiavi USB che diventano più economiche, sempre più spesso vengono distribuite durante i tradeshow o direttamente nella pubblicità via posta. Gli addetti al marketing sono pronti ad usarle come 'usa e getta' con lo scopo di assicurarsi le vendite…

Gli utenti dei computer, ad ogni modo, dovrebbero prestare molta attenzione nel collegare dispositivi non conosciuti nei loro PC, dato che potrebbero essere infettate da codici nocivi. Con l crescita significativa nel malware motivato da scopi finanziari, potrebbe essere un backdoor scontata per i criminali per penetrare in un'azienda e colpire una specifica attività con il proprio codice nocivo".

Secondo Sophos, man mano che un numero maggiore di aziende adotta strumenti di difesa per proteggersi da virus e malware "email-aware", i cybercriminali stanno cercando altre strade di attacco meno protette per infettare utenti innocenti, come appunto le ormai popolarissime chiavette USB. Cluley aggiunge: "In questo esempio, la modifica del titolo delle finestre del browser Internet Explorer dovrebbe essere un chiaro segnale per la maggior parte delle persone che qualcosa non stia andando per il verso giusto … Inoltre indica che questa particolare variante del worm non è stata scritta con intenzioni completamente clandestine. Un criminale più motivato ed arguto non avrebbe fatto sapere in maniera così ovvia che il PC è stato violato, ma avrebbe rubato in maniera silente dal PC senza lasciare questo tipo di indizi".

Gli esperti di Sophos consigliano agli utenti di disabilitare la funzioni di autorun di Windows in modo tale che i dispositivi rimovibili come chiavette USB e CDROM non vengano lanciati automaticamente quando collegati al PC. Qualsiasi dispositivo di storage collegato ad un computer dovrebbe essere inoltre analizzato in cerca di virus e altri malware prima di essere utilizzato. Floppy disk, CD ROM, chiavi USB, dischi rigidi esterni ed altri simili dispositivi sono tutti in grado di portare con se codici nocivi ed eventualmente infettare i computer di utenti incolpevoli. Sophos incoraggia le aziende a lasciare che i propri software antivirus si aggiornino automaticamente, ed a difendersi con soluzioni robuste contro virus, spyware, cybercriminali e spam.

Microsoft "Pre-Patch Day" MAG 07
http://www.tweakness.net/immagini/news/spacer.gifhttp://www.tweakness.net/immagini/news/spacer.gif LINK: http://www.tweakness.net/immagini/news/spacer.gifMicrosoft Security Bullettin Notehttp://www.tweakness.net/immagini/news/spacer.gifZero-Day Tracker di eEye Digitalhttp://www.tweakness.net/immagini/news/spacer.gif

http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/imgarchive/..._Patch_Day.jpgMicrosoft ha annunciato oggi che l'8 Maggio prossimo rilascerà 7 nuovi bollettini di sicurezza con relative patch per correggere varie vulnerabilità isolate nei suoi software. Gli update rientrano nel programma mensile di aggiornamento di protezione dei suoi prodotti, fissato per il secondo Martedì di ogni mese.

Si contano 2 bollettini di sicurezza relativi a Microsoft Windows (di cui almeno uno di livello critico) e 3 bollettini per Microsoft Office, di livello aggregato critico, a cui si aggiungono altri due bollettini critici, uno per Microsoft Exchange e uno per Microsoft CAPICOM e BizTalk. CAPICOM è una libreria di sistema che consente lo scripting di operazioni relative ai certificati e alla protezione come apporre una firma digitale ai dati, firmare codici, verificare le firme digitali, eseguire l'envelop dei dati per garantirne la riservatezza, calcolare il valore hash dei dati, crittografare/decrittografare i dati ed altro.


Ricordiamo che, secondo il sistema di rating del colosso del software, un problema di sicurezza è "critico" quando consente la realizzazione di un worm o altro codice nocivo in grado di diffondersi o attaccare senza richiedere intervento dell'utente. Il colosso rilascerà anche il consueto aggiornamento per lo strumento di rimozione malware per Windows. Per quanto riguarda gli aggiornamenti non relativi alla protezione, Microsoft renderà disponibili anche un aggiornamento ad alta priorità per Windows su Windows Update e Software Update Services e 6 aggiornamenti su Microsoft Update e WSUS.

Nelle sue Security Bulletin Advance Notification Microsoft, come regola, non rivela in anticipo i dettagli sulle vulnerabilità che saranno poi corrette con i rilasci "Patch Day". Una delle due patch di protezione per Windows andrà a correggere la vulnerabilità nel Domain Name System (DNS) Server Service (CVE-2007-1748) che affligge Windows 2000 Server SP4, Server 2003 SP1, e Windows Server 2003 SP2, segnalata quasi un mese fa. Varie aziende di sicurezza avevano lanciato l'allerta sulla diffusione di codici worm che sfruttavano la falla. Microsoft ha comunque monitorato la situazione da vicino ed ha aggiornato i clienti tramite il Security Advisory 935964. Bisogna evidenziare che Windows 2000 Pro SP4, Windows XP SP2, e Windows Vista non sono affetti da questo problema di sicurezza perchè non contengono il codice vulnerabile. Nel post "Pre-Patch Day" sul blog ufficiale del Microsoft Security Response Center, il colosso ha affermato di non essere venuto a conoscenza di nuovi attacchi alla vulnerabilità.

Per quanto riguarda Microsoft Office invece, secondo lo Zero-Day Tracker di eEye Digital, rimarrebbero scoperte ancora una falla di esecuzione codice in Microsoft Word, segnalata a metà Febbraio, ed una falla DoS in PowerPoint che risale ad Ottobre 2006.

Vista: Patch Finale per Apple iPod
http://www.tweakness.net/immagini/news/spacer.gifhttp://www.tweakness.net/immagini/news/spacer.gif LINK: http://www.tweakness.net/immagini/news/spacer.gifAnnuncio @ Vista Team Bloghttp://www.tweakness.net/immagini/news/spacer.gifArticolo KB936824http://www.tweakness.net/immagini/news/spacer.gifSupporto Apple

http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/imgarchive/iTunes_Store.jpgContestualmente al rilascio dei 7 nuovi bollettini di sicurezza nell'ambito del "Patch Day" di Maggio, Microsoft ha reso disponibile anche un aggiornamento "finale" di compatibilità per gli utenti di Windows Vista ed iPod, il popolare media-player portatile di Apple. L'aggiornamento, "raccomandato" agli utenti dal colosso di Redmond, è attualmente disponibile su Microsoft Download Center (per Vista x86 32-bit e Vista x64 64-bit) e sarà distribuito automaticamente tramite Windows Update a partire da Martedì 22 Maggio.

http://www.tweakness.net/immagini/links.gif QuickTime 7.1.5 e iTunes 7.1

Nick White, product manager per Vista, scrive nel post di annuncio pubblicato sul Vista Team Blog: "La release è destinata agli utenti di tutto il mondo e funziona con l'ultima versione di Apple iTunes per correggere un problema che causava la corruzione di alcuni iPod durante l'eject tramite Windows Explorer o la funzione "Rimozione Sicura Hardware" nel System Tray … Apple e Windows hanno collaborato per assicurare un'ottima esperienza durante l'uso di Windows Vista con iTunes e iPod, ed entrambe le aziende raccomandano il download di questo aggiornamento".


Secondo quanto riportato originariamente ad inizio Febbraio sul sito di supporto Apple, iTunes 7.0.2 poteva non funzionare correttamente con Windows Vista su molte configurazioni PC, portando eventualmente anche alla corruzione di un dispositivo iPod collegato. Apple suggeriva ai clienti di attendere prima di effettuare l'upgrade al nuovo sistema operativo di Microsoft, fino al rilascio della successiva versione di iTunes con cui Apple prevedeva di correggere una "serie di problemi di compatibilità".

Pur non trattandosi di una release interamente "dedicata" alla compatibilità con Windows Vista, iTunes 7.1, reso disponibile ad inizio Marzo, ha introdotto effettivamente una serie di fix per problematiche conosciute di compatibilità con il nuovo sistema di Microsoft. Apple aveva però informato di star ancora lavorando con Microsoft per correggere le rimanenti problematiche: 1. l'espulsione di un iPod dalla barra applicazioni Windows Explorer o dall'area notifiche (barra applicazioni) di Windows, potrebbe danneggiare il dispositivo quando si usa la funzione "Rimuovi l'hardware in modo sicuro". Per espellere un iPod sempre in modo sicuro, scegliere Espelli iPod dal menu Controlli di iTunes. Se l'iPod viene danneggiato, selezionarlo in iTunes e, facendo clic su Ripristina nel pannello Sommario dell'iPod, si potrà farlo funzionare di nuovo; 2. iTunes potrebbe mostrare testo e grafica in maniera non corretta sullo schermo (ridimensionare la finestra del programma dovrebbe correggere il problema); 3. I contatti del Windows Address Book potrebbero non sincronizzarsi con iPod; 4. iTunes rimane non supportato sulle edizioni a 64-bit di Windows, inclusi Windows Vista e Windows XP x64.

A quanto pare e da quanto si legge nell'articolo Knowledge Base 936824, l'aggiornamento reso disponibile da Microsoft corregge esclusivamente le problematiche relative all'espulsione del dispositivo dal sistema, sia tramite Windows Explorer sia dall'area notifica tramite la funzione "Rimuovi l'hardware in modo sicuro". Il documento di supporto di Apple che tratta le problematiche di compatibilità tra Vista e iPod non sembra essere stato ancora aggiornato. Apple parla già dell'aggiornamento sviluppato da Microsoft ma non segnala ancora la disponibilità della patch. L'aspetto importante ad ogni modo per gli utenti finali è che siano stati corretti i problemi che portavano alla corruzione dei dispositivi.

RH0: Falla e Rischio DoS per IPv6
http://www.tweakness.net/immagini/news/spacer.gifhttp://www.tweakness.net/immagini/news/spacer.gif LINK: http://www.tweakness.net/immagini/news/spacer.gifArticolo fonte @SecurityFocushttp://www.tweakness.net/immagini/news/spacer.gifAdvisory SecurityFocushttp://www.tweakness.net/immagini/news/spacer.gifAdvisory Cisco

http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/imgarchive/ethernet.jpgUna caratteristica del protocollo IPv6 che potrebbe portare all'amplificazione degli attacchi DoS sulle reti di nuova generazione, sta impegnando vendor e ingegneri nella ricerca di una modo per eliminare la potenziale vulnerabilità. Questa settimana, come riporta SecurityFocus, gli esperti di sicurezza hanno inviato due bozze all' Internet Engineering Task Force (IETF), ente e comunità aperta di tecnici, specialisti e ricercatori che si occupa dell'evoluzione tecnica e tecnologica di Internet e degli standard, proponendo varie soluzioni per risolvere un problema di sicurezza nel modo in cui il Protocollo Internet versione 6 (IPv6) permette alla fonte di dati di rete di determinare il proprio percorso tramite il network.


La specifica, conosciuta come Type 0 Routing Header (RH0), permette ai computer di istruire i router IPv6 all'invio di dati tramite un percorso specifico. Originariamente studiata come un modo per consentire agli utenti "mobile" di conservare un singolo IP per i loro dispositivi, la funzione presenta varie implicazioni di sicurezza alquanto preoccupanti. Durante una presentazione alla conferenza CanSecWest, svoltasi quasi un mese fa, i ricercatori Philippe Biondi e Arnaud Ebalard hanno evidenziato che il supporto per RH0 permette agli attacker di amplificare gli attacchi denial-of-service sull'infrastruttura IPv6 di un fattore minimo di 80.

Questi problemi di sicurezza emergono mentre sempre più organizzazioni stanno portando a termine il passaggio a IPv6 dallo standard precedente (IPv4). Il governo federale degli Stati Uniti e molte delle più grandi corporazioni migreranno al nuovo standard entro la fine di questa decade. Il Dipartimento della Difesa US e L'Office of Management and Budget (gestione e bilancio) della Casa Bianca hanno dato mandato ai servizi militari ed alle agenzie federali di portare i loro sistemi backbone su IPv6 entro il 30 Giungo 2008. Inoltre lo standard è già ampiamente supportato da router e sistemi operativi. Mac OS X, Linux, e Windows Vista utilizzano lo standard come protocollo di networking predefinito. Microsoft supporta il wrapping di pacchetti IPv6 all'interno di dati IPv4, funzione conosciuta come 6to4 tunneling, in modo che le reti che inviano dati tramite IPv6 possano comunicare via Internet.

I problemi di sicurezza di RH0 hanno origine nell'attuale implementazione del protocollo Internet. La specifica per IPv4 permette al mittente dei dati di specificare uno o più router attraverso i quali gli stessi devono viaggiare. Conosciuta come "source routing", questa tecnica permette di includere in un header esteso IPv4 fino a 9 altri indirizzi, richiedendo che il pacchetto venga trasferito tramite questi specifici indirizzi. Sebbene possa essere di beneficio per le mansioni di diagnostica, il source routing può essere anche usato per amplificare un attacco denial-of-service di un fattore di 10, andando ad alternare due indirizzi Internet target nell'header, cioè eseguendo una sorta di ping-pong di dati tra due macchine.

Se da una parte il source routing è stato accettato come un rischio di sicurezza dalla maggior parte delle aziende, e la maggior parte dei router disattivano questa funzione di default, l'IETF non ha eliminato l'opzione dalle specifiche e l'ha estesa a IPv6. Nell'ambito del nuovo protocollo, l'impatto derivato dal permettere agli utenti di specificare alcuni indirizzi ai quali devono essere inviati i dati, conosciuto come "loose source routing", è molto più pericoloso. Dato che un numero maggiore di indirizzi può essere incluso nell'header, invece di amplificare un attacco di 10 volte, secondo i calcoli di Biondi e Ebalard, si arriverebbe ad un fattore di amplificazione di 88. Inoltre RH0 può permettere ad un attacker di evadere la tecnologia distributed AnyCast con cui vengono protetti i 13 root server DNS dagli attacchi, e quindi può essere usato per creare un backlog di pacchetti in grado di provocare una impennata di traffico verso un server in un momento determinato.

Dopo il dibattito sulla problematica avvenuto alla presentazione CanSecWest, ingegneri ed esperti hanno presentato due proposte: eliminare la funzione o fare in modo che sia disattiva in maniera predefinita. Aziende e gruppi di engineering responsabili di una larga porzione del codice di routing IPv6 si sono mossi rapidamente per disattivare la funzione. Il Kame Project, che ha creato il codice usato da vari tipi di sistema operative BSD e router, ha disattivato il Type 0 Routing Header nel proprio codice. Anche Cisco ha rilasciato un advisory di sicurezza sul problema

I vigili ti hanno multato?? attenti all’ultima e-mail diffondi malware


http://www.anti-phishing.it/image.news/vigile_01.jpgUn multa per divieto di sosta. E’ questa l’ultima novità del malware all’italiana che dopo il boom dello scorso dicembre legato all’avv.Giuliani, ritorna in questo mese di maggio con una nuova e-mail che sicuramente non mancherà di mietere le sue vittime.

Il nuovo messaggio di posta elettronica si presenta ovviamente non indirizzato alla vittima, ma gioca sulla possibilità che utenti curiosi o ficcanaso decidano di indagare sulla contravvenzione piovuta sul loro indisciplinato collega automobilista. L’obiettivo è condurre la potenziale vittima all’interno dell’apposito sito trappola, che si presenta come una pagina di notifica all’interno del quale tuttavia si avvia il download automatico del file Login.exe e manualmente grazie all’inconsapevole complicità dello stesso utente anche del file bollettino-Postale-Zip.exe.

A destare particolare pericolo tuttavia non è il fattore psicologico, ossia la voglia della potenziale vittima d’intrufolarsi nella vita privata d’altri, ma l’ennesima incapacità dei principali software anti-virus di riconoscere e bloccare il malware prima che possa giungere nel sistema.

Ecco l’e-mail utilizzata, il sito trappola e l’analisi del file Login.exe:
http://www.anti-phishing.it/phishing...05.2007_01.png http://www.anti-phishing.it/phishing...05.2007_02.png http://www.anti-phishing.it/phishing...05.2007_03.png




Fonte: Anti-Phishing Italia

Tributi comunali a Vicenza, l’assessore avvisa "Occhio alle truffe telefoniche"


http://www.anti-phishing.it/image.news/telecom.001.jpgNuove truffe, vecchi sistemi. A Vicenza l'assessore alle Finanze ammonisce i contribuenti: non credete alle telefonate di finti addetti del settore tributi! Rosalinda Faretto, l’amministratore citato in precedenza, raccomanda ai cittadini di prestare estrema attenzione per il pagamento dei tributi comunali.

E ricorda ai vicentini dei consigli che suonano molto familiari – ahinoi- alle nostre orecchie: i funzionari comunali non verrebbero mai a chiedervi certe informazioni per telefono. la raccomandazione prende sputo da un’indagine conoscitiva svolta dallo stesso assessorato, dalla quale si è appreso che diversi cittadini sono stati contattati da falsi addetti dell’ufficio tributi ed invitati a fornire loro dati personali ed altre informazioni riservate.

L’assessore ci ha tenuto a precisare che il settore tributi non effettua alcun tipo di visite o di telefonate a domicilio, né per convocare i cittadini, né per chiedere dati, né tanto meno per riscuotere denaro.

L’invito, pertanto, è di non dare credito a chi tenta qualche contatto, fingendo di essere un addetto alle verifiche dell’ICI o di altri tributi comunali.


Fonte: Anti-Phishing Italia

Attivazione di Windows a pagamento: attenti al phishing


http://www.anti-phishing.it/image.news/windowkey.jpgLa segnalazione arriva direttamente dai laboratori Symantec i quali sul finire del mese di aprile hanno rilevato la diffusione di un nuovo malware votato al phishing che presentatosi agli utenti come una schermata di attivazione del proprio Microsoft Windows sottrae con l’inganno il numero di carta di credito della sprovveduta vittima.

Il malware identificato con il nome di Trojan.Kardphisher è grande appena 1Mb d è in grado di funzionare su Windows 95, 98, NT, 2000, XP e Server 2003. Una volta installato nel sistema, subito dopo il primo riavvio mostra una scherma di Windows, assolutamente identita all’originale, nella quale viene richiesto all’utente di riattivare la propria copia del software dato che il suo numero di attivazione risulta già impiegato da un altro utente.

Per far questo è necessario inserire tuttavia i dati della propria carta di credito, i quali si promette non verranno utilizzati (We will ask for you billing details, but your credit card will NOT be charged). Ovviamente è falso.

Nel caso in cui l’utente decida di non riattivare il propria copia, il malware provvede allo spegnimento automatico del sistema, bloccando al tempo stesso l’utilizzo del Task Manager, quindi per la malcapitata vittima l’unica possibilità è sottostare alle richieste del phisher.

Inoltre sempre secondo quanto fornito dalla Symantec anche il nuovo sistema operativo di casa Microsot, Vista risulterebbe vulnerabile al problema, nonostante il malware non sia in grado in questa versione di bloccare il task manager. L’unica soluzione per la rimozione del malware è accedere in Windows in modalità provvisoria e cancellare le stringhe create nel registro dallo stesso codice maligno.

Ecco come si presenta il Trojan.Kardphisher, in due immagini fornite dal sito web Symantec.com:
http://www.anti-phishing.it/phishing...-0108-99.1.png http://www.anti-phishing.it/phishing...-0108-99.2.png
Fonte: Anti-Phishing Italia

SCR Scanner e Studio Legale Guerra: due nuovi malware


http://www.anti-phishing.it/image.news/download.jpgCome se non bastasse la "valanga" phishing, anche il malware all’italiana legato ai numeri a tariffazione maggiorata 899 fa il suo ritorno con una nuova serie di e-mail che quasi a cadenza giornaliera ormai dall’inizio del mese di maggio continuano a giungere nella caselle e-mail di migliaia di utenti web italiani.

Dopo le false multe, gli accrediti, gli incontri erotici e le diffide, è la volta della Sistemi Controllo Rete, fantomatico sistema realizzato dall’omonima società, anch’essa inesistente, la quale ci informa che il nostro account è stato violato in quanto utilizzato da terzi per l’invio di spam.

Il consiglio è quello di cliccare sull’apposito link per raggiungere il loro sito web all’interno del quale automaticamente verrà effettuata una scansione del nostro sistema, così da poster rilevare eventuali anomalie. E’ superfluo dire che queste verranno "magicamente" trovate e quindi l’unica possibilità è quella di scaricare l’apposito file patch_pubblica.exe, la cui unica natura è truffaldina.
http://www.anti-phishing.it/phishing...007_01mail.png http://www.anti-phishing.it/phishing...05.2007_01.png
Tuttavia se la Sistemi Controllo Rete non bastasse una nuova e-mail minaccia oggi gli utenti nostrani, si tratta del falso avviso di scadenza di un RI.BA dell’importo di 1.380,00 euro.

Per l’ennesima volta lo scopo dell’e-mail è quello di spaventare la malcapitata vittima, tanto da costringerla a visitare l’apposito sito web proposto, all’interno del quale onde poter trovare ulteriori informazioni in merito all’accaduto sarà costretto al download del malware AcrobatReader.260407.exe.

Il consiglio di fronte a simili e-mail è quello di mantenere la calma dato che i truffatori giocano pesantemente sull’aspetto psicologico, e cestinare tali e-mail dato che se non avete acquistato nulla o sentito mai parlare SCR International si tratta ovviamente di una truffa.
http://www.anti-phishing.it/phishing...007_02mail.png http://www.anti-phishing.it/phishing...05.2007_02.png
Fonte: Anti-Phishing Italia

Malware Sfruttano BITS come WU
http://www.tweakness.net/immagini/news/spacer.gifhttp://www.tweakness.net/immagini/news/spacer.gif LINK: http://www.tweakness.net/immagini/news/spacer.gifArticolo fonte @ Symantec SR Bloghttp://www.tweakness.net/immagini/news/spacer.gifHomepage di Boldewinhttp://www.tweakness.net/immagini/news/spacer.gif

http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/imgarchive/Trojan_BITS.jpgIn questi giorni i news media ha prestato molta attenzione alla notizia della scoperta di un nuovo codice Trojan in grado di sfruttare, una volta insediatosi nel PC vittima, una componente del sistema operativo Windows, per scaricare ulteriori file nocivi sulla macchina infetta. Si tratta del servizio trasferimento intelligente in background (BITS) utilizzata dal sistema per il trasferimento asincrono dei file in background o in primo piano, per ridurre la velocità di trasferimento dei file e per conservare la capacità di risposta delle altre applicazioni di rete. BITS viene sfruttato da Windows Update e dalle applicazioni IM di Microsoft per scaricare aggiornamenti di protezione, e altri file.

Il ricercatore di sicurezza Frank Boldewin, in collaborazione con Elia Florio di Symantec, ha scoperto la nuova tecnica una settimana fa dopo aver analizzato un Trojan, distribuito via spam in Germania verso fine Marzo. Secondo quanto riportato da Florio in un intervento sul blog ufficiale di Symantec, Bolderwin ha capito che il Trojan (classificato come Downloader) stava usando BITS per bypassare il firewall e scaricare file in tranquillità. Essendo parte del sistema operativo, BITS è considerato un servizio sicuro ed ha pieni diritti di comunicazione attraverso il firewall.


Dal post di Florio: "[BITS] è una componente molto funzionale e se considerate che supporta HTTP e che può essere programmata tramite API COM, risulta lo strumento ideale per fare in modo che Windows scariche qualsiasi cosa a piacimento. Sfortunatamente queste cose includono file nocivi … i Malware hanno necessità di bypassare i firewall locali ma, normalmente i metodi più comuni trovati nei campioni di codice reali sono intrusivi, richiedono operazioni di process injection oppure possono provare ad allarmi sospetti". Secondo Florio normalmente i malware sfruttano diverse tecniche per bypassare i firewall, come terminare il servizio o il processo del firewall, iniettare codice nocivo in Internet Explorer o nei processi Svchost, normalmente elencati come applicazioni sicure ne firewall o eseguire una patch dei driver di rete per disabilitare il filtering.

Florio aggiunge: "Usare BITS per scaricare file nocivo è un bel trucchetto perchè questo bypassare i firewall locali, dato che il download viene eseguito da Windows stesso, e non sono richieste azioni sospette per l'iniezione di codice. Infatti il campioni nocivo Downloader in questo caso ottiene accesso alla componente BITS tramite l''interfaccia COM con CoCreateInsance(), e sfrutta i metodi CreateJob() e AddFile() per configurare il download e la destination path". Al momento, aggiunge Symantec, non esiste un workaround immediate contro questo tipo di attacco. Non è facile verificare i download in coda di BITS. Probabilmente, aggiungono i ricercatori, l'interfaccia del servizio dovrebbe essere progettata per essere accessibile solo con privilegi alti di sistema, oppure i job creati con BITS dovrebbero essere ristretti ai solo URL fidati.

La nuova tecnica tuttavia non costituisce una grave minaccia, dato che il Trojan non è in grado di bypassare i prodotti antivirus ma sfrutta solo BITS come servizio di download. È comunque interessante notare i nuovi sviluppi nella programmazione dei codici nocivi che sembrano usare tecniche sempre più sofisticate per sfruttare le funzioni stesse dei sistemi operativi ospiti. Bisogna inoltre notare che il metodo di download tramite BITS era stato già ben documentato negli ambienti underground e era stato pubblicato come esempio di "antifirewall loader" su un forum Russo già a fine 2006. Un portavoce di Microsoft ha confermato che l'azienda è a conoscenza delle segnalazioni pubbliche di questo tipo di tecnica e del codice Trojan, classificato ufficialmente come TrojanDownloader:Win32/Jowspry. Tuttavia il colosso evidenzia che il metodo di bypass si basa sul fatto che il codice nocivo sia già insediato nel sistema, cioè BITS non rappresenta il vettore di attacco per l'infezione finale.

Ricordiamo infine che non si tratta della prima tecnologia "esterna" sfruttata dai malware per i loro scopi nocivi: Alternate Data Streams (ADS) e Encrypted File System (EFS) sono solo due popolari esempi di tecnologie usate dai malware come Backdoor.Rustock e Trojan.Linkoptimizer (il famigerato Gromozon).

Phishing e Ultimi Codici Exploit
http://www.tweakness.net/immagini/news/spacer.gifhttp://www.tweakness.net/immagini/news/spacer.gif LINK: http://www.tweakness.net/immagini/news/spacer.gifArticolo fonte @ symantec.comhttp://www.tweakness.net/immagini/news/spacer.gifBID 21829http://www.tweakness.net/immagini/news/spacer.gifBID 21060

http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/imgarchive/...ng_General.jpgSymantec ha pubblicato ieri sul blog ufficiale del suo Security Response alcune informazioni relative ai codici exploit che stanno recentemente venendo sfruttati dagli autori di pagine di phishing. Il DeepSight Threat Analyst Team dell'azienda controlla costantemente gli "honeypot" chiamati "crawler", che sono programmati per perlustrare Internet in cerca di pagine web modificate per scopi nocivi. I crawler emulano la navigazione degli utenti sulla rete tramite vari browser che possono essere suscettibili ad exploit client-side ospitati sulle pagine web.

Grazie a questi honeypot Symantec è in grado di "catturare" molti codici "run-of-the-mill" che sfruttano vulnerabilità web conosciute. Secondo quanto emerge da questi dati, gli autori di malware, secondo l'azienda di sicurezza, tendono a sfruttare largamente la vulnerabilità Microsoft MDAC RDS.Dataspace ActiveX Control Remote Code Execution Vulnerability (BID 17462), una falla scoperta circa un anno fa e corretta da Microsoft ad Ottobre 2006.


Tra i vari attacchi conosciuti, Symantec ha comunque identificato dei tipi di compromissione che ironicamente installano ancora alcune vecchie varianti malware. Uno di questi casi è stato rilevato pochi giorni fa e riguardava un URL programmato per sembrare appartenente all'istituto finanziario Halifax Online. Il sito risultante era tuttavia solo vagamente simile a quello legittimo e includeva un codice JavaScript con una serie di exploit. La particolarità, afferma Symantec, stava proprio negli exploit usati nell'attacco. Lo script includeva 4 differenti exploit, due di questi erano comuni e due invece ancora sconosciuti o meglio mai visti prima in-the-wild.

Il primo exploit "originale" attaccava la falla Apple QuickTime RTSP URI Remote Buffer Overflow Vulnerability (BID 21829), scoperta a Gennaio scorso e divulgata come parte del progetto Month of Apple Bugs. Finora non erano stati isolati tentativi di exploit in-the-wild di questo particolare problema di sicurezza. Il codice utilizzava l'onnipresente tecnica di heap-spraying per arrivare facilmente all'esecuzione di codice in una location prevedibile. L'heap-spraying funziona utilizzando un loop JavaScript per riempire la memoria del processo con i dati forniti, incrementando la probabilità di causare un "predictable memory layout". Il secondo "nuovo" exploit colpiva invece la vecchia falla WinZip WZFileView.FileViewCtrl.61 ActiveX Control Remote Code Execution Vulnerability (BID 21060), sfruttando il metodo CreateNewFolderFromName. Il problema era stato originariamente svelato a Novembre 2006. Questo particolare codice exploit sfruttava anche la stessa tecnica di heap-spraying precedente per ciascuna esecuzione di codice. Colpire un vulnerabilità in applicazioni come WinZip, evidenzia Symantec, è vantaggioso per un attacker, perché la probabilità che questi programmi siano aggiornati è molto minore rispetto a quanto avviene per le applicazioni che includono una funzione di auto-aggiornamento.

Per entrambe queste vulnerabilità erano disponibili codici exploit proof-of-concept pubblici prima della loro scoperta in-the-wild. Syamntec afferma di non essere venuta a conoscenza di segnalazioni di attacchi che sfruttavano queste falle, precedenti all'analisi di questo recente caso di compromissione. Ad ogni modo aggiornamenti di protezione correttivi sono disponibili per tutti i problemi di sicurezza osservati durante questo attacco. Symantec commenta in conclusione dell'intervento: "Questo evidenzia il fatto che gli autori di phishing si stanno adattando ai tempi, e stanno massimizzando le probabilità di successo negli attacchi andando a colpire un varietà di software third-party, in aggiunta alla classiche vulnerabilità di Internet Explorer colpite finora. Inoltre si evidenzia il problema degli utenti che non applicano rapidamente le patch di sicurezza per le applicazioni, dato che gli attacker trovano vantaggioso attaccare bug che sono stati corretti da mesi".

Non si ferma la corsa del Trojan.Briz: rubati dati riservati di 14mila utenti


http://www.anti-phishing.it/image.news/trojanbriz.pngL’abbiamo incontrato per la prima volta esattamente un anno fa e da allora non ha fatto altro che far parlare di se, si tratta del trojan Briz, arrivato ora alla sua versione X la quale ha già colpito circa 14 mila utenti della Rete sottraendo loro dati ed informazioni riservate. Ulteriori dettagli dalla spagnola Panda Software:

Questo codice, secondo la rilevazione della multinazionale, attacca una media di 500 nuovi computer al giorno. Briz.X invia i dati a un server di Internet - al quale Panda Software è riuscita ad accedere. Questi vengono poi archiviati e suddivisi in file di testo, in uno spazio di oltre 3 Gigabyte.

Questo tipo di malware ha la capacità di carpire un elevato volume di informazioni, tanto che il suo autore ha incluso nel codice un modulo parser (un programma che estrae dati dai documenti e li ordina per indici e ricerche). Luis Corrons, direttore tecnico dei laboratori di Panda Software afferma “questo strumento permette all’hacker di cercare le informazioni più utili per dominio o parola e localizzarli facilmente.” Inoltre, questo modello comprende un’opzione che consente di realizzare dei criteri per filtrare le informazioni. Il server scoperto dai laboratori contiene già alcuni filtri, quali paypal.com, ebay.de o yahoo.com.

“Ciò significa che gli autori possono accedere rapidamente ai dati rubati relativi a queste pagine, come nome dell’utente, password o dettagli bancari” aggiunge Corrons. Il Trojan Briz.X permette l’accesso remoto ai PC colpiti per utilizzarli come proxy per realizzare attività illegali, quali il trasferimento di informazioni rubate o di denaro. In questo modo i cyber criminali si assicurano che il loro indirizzo IP non appaia, rendendo più difficile la rilevazione da parte delle autorità.

La prima variante di Briz individuata dai laboratori (Briz.A) era legata alla creazione e vendita di Trojan realizzati su misura, bloccata in seguito grazie all’impegno e agli sforzi della multinazionale.


Fonte: Anti-Phishing Italia

Scarichi dal web? La major ti chiede il risarcimento rintracciando il tuo pc in rete. Ma dimentica il Garante…


http://www.anti-phishing.it/image.news/nsa-1984.gif«Abbiamo ricevuto mandato di agire nei suoi confronti». Questa frase minacciosa e avvocatesca è comparsa su una lettera recapitata a circa 4mila utenti italiani, ad opera di una casa discografica tedesca che avrebbe riscontrato la violazione dei propri diritti d’autore consumatasi su piattaforme che consentono la condivisione (e lo scarico) di brani musicali in rete.

Secondo quanto riportato nella missiva inviata da uno studio legale trentino, il destinatario della missiva sarebbe stato rintracciato tramite l’indirizzo IP del proprio pc. E nella lettera si dà atto della bontà del software utilizzato per rintracciare l’IP (sarebbe lo stesso in uso presso la polizia polacca, scrive il legale della società) e della legittimità dell’acquisizione dei dati, derivante da un provvedimento emesso lo scorso agosto dal Tribunale di Roma.

Proprio con riferimento a quest’ultimo profilo è intervenuto il Garante per la protezione dei dati personali che ha espresso le proprie perplessità circa la prassi adottata dalla società tedesca “Peppermint” ipotizzando possibili violazioni della disciplina privacy degli utenti. "La decisione del Garante” è scritto in una nota dell’Autorità “nasce dalla volontà di verificare se nella vicenda siano stati rispettati tutti i diritti di protezione dei dati personali".

Contro l’iniziativa posta in atto dalla Peppermint si era schierato subito il blog di Beppe Grillo, dove è presente una copia in pdf della lettera in questione, nonché l’associazione dei consumatori Altroconsumo, e numerose altre associazioni di giuristi informatici.

In particolare, Altroconsumo, aveva presentato un esposto al Garante denunciando "le modalità illegali, dai contorni orwelliani, attraverso cui la Peppermint Jam Records GmbH ha raccolto circa 4.000 indirizzi IP di utenti italiani in rete, intimando loro di pagare 330 euro per aver condiviso dei file musicali", come riporta un loro comunicato stampa.

Non si è fatta attendere la risposta della società, per voce dell’amministratore delegato Wlolfgang Sick, il quale ha dichiarato all’agenzia Reuters "scaricare musica da Internet ci crea un grave danno economico. Attraverso queste azioni legali vogliamo solo che la gente si renda conto che quello che scaricare musica è illegale".

Secondo l’associazione dei consumatori, però, molti punti restano oscuri nella vicenda: non è chiaro, infatti, se gli scambi siano avvenuti a fini commerciali o personali; inoltre non vi è alcuna corrispondenza certa fra titolare dell’indirizzo IP e autore della presunta trasgressione.

Peraltro, precisano dall’associazione «anche se anche la questione si dovesse chiudere "bonariamente" (la lettera inviata proponeva infatti una transazione a 330,00 euro come forma di risarcimento forfetario per il danno realizzato alla Peppermint) i consumatori di fatto non evitano il coinvolgimento penale; trovare un accordo con la parte lesa non elimina la perseguibilità in ambito penale del consumatore: il reato infatti è perseguibile d'ufficio e, tra l'altro, il consumatore, accettando la transazione, ammette implicitamente la colpa».

Staremo a vedere nei prossimi giorni che tipo di evoluzione avrà la vicenda, ma il sospetto che si tratti di una prova generale di una iniziativa legale massiccia finalizzata a stroncare il fenomeno del P2P in Italia, è, purtroppo, fortissimo.

Questa la lettera inviata dalla Peppermint
http://www.beppegrillo.it/immagini/lettera_Peppermint.pdf

Questo il provvedimento del Tribunale di Roma al quale si richiama la Peppermint
http://upload2.net/page/download/2EkwmmMuYwnT4Td/pepper.zip.html

Questo l’articolo de Altro consumo
http://www.altroconsumo.it/map/src/164273.htm

questa la fonte delle dichiarazioni dell’amministratore delegato Peppermint - clicca qui



Fonte: Anti-Phishing Italia

Malware: Infetto o non infetto…..


http://www.anti-phishing.it/image.ne...uter.virus.jpgAnalizzare e valutare le minacce provenienti da Internet attraverso i dati forniti dagli utenti mentre questi controllano il livello di sicurezza dei propri sistemi. E’ questo l’interessante studio avviato dalla spagnola Panda Software la quale mettendo a disposizione degli utenti due tool gratuiti NanoScan e TotalScan in grado di rilevare (in poco meno di un minuto) ed eliminare le minacce malware presenti nei loro sistemi ha dato il via ad un macro studio a livello mondiale i cui risultati sono subito visibili nell’apposito sito web: http://www.infectedornot.com

La multinazionale è convinta che questo studio sia fondamentale soprattutto alla luce dalla nuova dinamica del malware che ha come scopo primario il furto di dati e causa gravi danni ai navigatori. I cyber criminali non vogliono creare epidemie di interesse mediatico, ma rubare informazioni sensibili da utilizzare per frodi online o per il furto di identità. Le conseguenze di questa nuova dinamica includono: - Numerose specie di nuovo malware che appaiono ogni giorno. Nel 2006 Panda Software ha rilevato più varianti rispetto alla somma dei 15 anni precedenti.

Al momento, i laboratori antivirus non sono in grado di elaborare tutte le nuove minacce che appaiono giorno dopo giorno. Gli utenti sono così colpiti senza che se ne rendano conto, nonostante i loro PC siano dotati di una soluzione di protezione aggiornata. - I cyber criminali cercano di agire in maniera silenziosa per evitare che le aziende specializzate in sicurezza e i navigatori rilevino gli esemplari in circolazione. Ad esempio, solo qualche giorno fa, i laboratori di Panda Software hanno individuato una rete composta da circa 160 mila computer zombie, colpiti dal bot Barracuda.A, sconosciuto fino a quel momento. - I codici usati tradizionalmente per causare epidemie estese, come virus o worm, sono stati sostituiti da tipi di malware orientati al crimine, quali Trojan, bot o lo spyware. Quasi il 66% dei nuovi Trojan apparsi nel primo trimestre del 2007 è stato progettato per il furto di dati. - Aumento del numero di codici che utilizzano “tecniche nascoste” come rootkit, packer, etc. Sono molto difficili da individuare e giacciono a lungo sui computer, realizzando azioni pericolose. Panda Software ha annunciato di recente un tool gratuito online per la rimozione dei rootkit (Panda Anti-Rootkit), disponibile su http://www.pandasoftware.com/about/press/antirootkits.

Panda Software sta cercando di analizzare questa situazione sul sito http://www.infectedornot.com. Gli utenti potranno collaborare all’iniziativa utilizzando i due tool gratuiti NanoScan e TotalScan. Entrambe le applicazioni rilevano più codici rispetto ai tradizionali antivirus, in quanto sono dotati di “Intelligenza Collettiva”. Questo nuovo approccio, sviluppato da Panda Software, include l’analisi automatizzata di una vasta quantità di informazioni su programmi e file, in una nuova infrastruttura gestita dai laboratori della multinazionale, e la comunicazione in tempo reale con i computer degli utenti. In questo modo, l’analisi e la rilevazione del malware vengono realizzati sui server di Panda Software e non sul sistema stesso.


Fonte: Anti-Phishing Italia – www.anti-phishing.it

Attacco "MPack" e Trojan.Srizbi
http://www.tweakness.net/immagini/news/spacer.gifhttp://www.tweakness.net/immagini/news/spacer.gif LINK: http://www.tweakness.net/immagini/news/spacer.gifSymantec Security Response Bloghttp://www.tweakness.net/immagini/news/spacer.gifTrojan.Srizbihttp://www.tweakness.net/immagini/news/spacer.gifPrevX Blog

http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/imgarchive/...lia_MPack2.jpgSul blog ufficiale del Symantec Security Response è stato pubblicato un nuovo commento sul recente attacco che ha colpito numerosi siti italiani, condotto sfruttando la compromissione di pagine web e il toolkit malware MPack, per attaccare il browser di ignari visitatori e distribuire una varietà di codici nocivi. Ricordiamo che in un intervento precedente Symantec aveva pubblicato un video offrendo una dimostrazione pratica dei rischi a cui vanno incontro gli utenti che malauguratamente si trovano a visitare un sito compromesso nell'ambito di questo attacco di cui abbiamo parlato ampiamente in tre news precedenti. Symantec mostra il funzionamento del codice exploit richiamato dall'IFRAME nocivo iniettato furtivamente nei siti compromessi, mostrando alcuni screenshot di siti compromessi, del codice HTML interessato, e di alcuni tool sfruttati dai cyber criminali per condurre l'attacco. -> MPack The Movie

http://www.tweakness.net/immagini/links.gif Attacco "MPack": Il Video Demo - Italia: Sotto Attacco con MPack III - Altre


Dal nuovo intervento di Symantec: "Finora abbiamo visto i seguenti campioni di malware installati durante la navigazione su siti compromessi da MPack: Trojan.Anserin, Trojan che ruba informazioni relative ai conti bancari, Trojan.Linkoptimizer.B, un dialer Trojan, Backdoor.IRC.Bot, un IRC bot, Infostealer.Ldpinch, un Trojan che ruba informazioni di account e password e Trojan.Srizbi, uno spam Trojan.

Questi codici Trojan erano già presenti nel nostro database di malware, tuttavia un malware che abbiamo scoperto di recente, Trojan.Srizbi è davvero interessante in virtù di alcune sue caratteristiche uniche. Il driver di Trojan.Srizbi (windbg48.sys) ha due funzioni principali: nascondere se stesso utilizzando un rootkit ed inviare spam. Tuttavia la caratteristica che lo rende realmente unico è che si tratta probabilmente del primo malware "full-kernel" isolato "in the wild". Una volta installato, il Trojan funziona senza alcun payload in modalità utente e svolge tutte le sue attività da modalità kernel, inclusa quella di inviare spam. Il codice rootkit non è nuovo: il driver nocivo si lega a \FileSystem\Ntfs per nascondere i file sul disco locale e inoltre modifica una tabella SDT per nascondere le chiavi di registro come rootkit più vecchi. Inoltre, il Trojan tenta di eliminare i file di log %System%\Minidump e sembra includere una routine speciale per rimuovere codici rootkit rivali, come wincom32.sys e ntio256.sys.


Il codice più interessante è contenuto nella routine di spam. Sappiamo che utilizzare le funzionalità di rete direttamente da modalità kernel è molto più complicato e abbiamo visto molte altre minacce rootkit in passato, per esempio Haxdoor, Rustock, e Peacomm, fare affidamento sempre ad un payload user-mode per iniettarsi in alcuni processi di Windows. Trojan.Srizbi sembra fare un passo avanti in questo senso, lavorando totalmente in kernel-mode, senza iniettare nulla in user-mode. Per manipolare la connessione di rete direttamente in modalità kernel, il codice nocivo si collega ai driver NDIS e TCP/IP e ottiene tutte le funzioni Ndis* e Zw* necessarie, caratteristica unica di questa minaccia. Questa tecnica permette anche di bypassare gli strumenti firewall e sniffer, e nascondere così la sua attività di rete". Syamntec ritiene che Trojan.Srizbi sia ancora in fase beta e che lo sviluppo del malware non sia completato. Secondo l'azienda di sicurezza l'autore di Trojan.Srizbi potrebbe essere lo stesso di Rustock, considerato il codice polimorfico utilizzato, molto simile al packer di Backdoor.Rustock.B, ma più avanzato. Gli utenti possono scoprire di essere infetti cercando questa chiave non nascosta:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\RcpApi\"MachineNum" = "[6 CIFRE CASUALI-6 CIFRE CASUALI -2 CIFRE CASUALI]"

In una notizia correlata segnaliamo l'inaugurazione del blog ufficiale dell'azienda di sicurezza PrevX. Nel post inaugurale, Marco Giuliani, esperto di sicurezza che collabora con l'azienda, ha pubblicato un commento all'intera vicenda dell'attacco "MPack" (aka "italian job") evidenziando che ancora non è stata riconosciuta la metodologia tramite la quale i cybercriminali sono riusciti a compromettere le pagine web di tanti server. Il metodo più probabilmente utilizzato è legato allo sfruttamento di una vulnerabilità o debolezza di configurazione di cPanel, uno strumento di amministrazione web per i client.

McAfee: Cybercrime e Giochi Mentali
http://www.tweakness.net/immagini/news/spacer.gifhttp://www.tweakness.net/immagini/news/spacer.gif LINK: http://www.tweakness.net/immagini/news/spacer.gifComunicato stampa McAfeehttp://www.tweakness.net/immagini/news/spacer.gifMcafee White-papershttp://www.tweakness.net/immagini/news/spacer.gif

http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/immagini/news/spacer.gif http://www.tweakness.net/imgarchive/mcafee3.jpgMcAfee ha annunciato i risultati di una ricerca che descrive le metodologie ed i "giochi mentali" utilizzati dal crimine organizzato per convincere con l'inganno gli utenti dei PC a cedere informazioni riservate e denaro. L'indagine sulle tendenze del cybercrime, commissionata da McAfee in collaborazione con un famoso psicologo legale, Professor Clive Hollin dell'Università di Leicester nel Regno Unito, segnala che nelle ultime frodi via e-mail i truffatori digitali stanno sfruttando sempre più efficacemente le nostre più intime debolezze psicologiche. I criminali informatici stanno adottando tecniche sempre più efficienti, come assumere identità che possono sembrare attendibili, coinvolgere con scherzi divertenti e fare leva su emozioni umane come paura, insicurezza e avidità. Il whitepaper di Mcafee dovrebbe essere reso disponibile prossimamente sul sito dell'azienda.

http://www.tweakness.net/immagini/links.gif McAfee: Consigli Contro lo Spam - McAfee: Paper Tecnico sui Rootkit - Altre


Lo studio rivela che i cybercriminali tendono a combinare sempre più codice nocivo stealth con specifici giochi psicologici, in modo da manipolare il comportamento degli utenti e convincerli ad aprire allegati, cliccare su link o inserire informazioni riservate, con l'intento di rubare informazioni personali e dati di accesso bancari. Un esempio emblematico nel report indica che persino la comune curiosità può essere un vantaggio inatteso per i truffatori. Quando un banner pubblicitario on-line aveva promesso di infettare con un virus i PC di coloro che lo avessero cliccato, 400 persone hanno fatto esattamente come veniva richiesto.

I cybercriminali si impegnano per ridurre il nostro scetticismo e convincerci della legittimità delle loro e-mail. Utilizzano un insieme di trucchi psicologici, come fare in modo che l'e-mail giunga da un amico o da un'autorità degna di fiducia come una società di carte di credito. Per attirare la nostra attenzione e far spiccare l'e-mail tra le altre utilizzano intestazioni particolari, riferendosi ai nostri interessi personali, come ad esempio "shopping" o "appuntamento". Il report mostra inoltre come le tipiche e-mail truffa contengano elementi essenziali che giocano sulle debolezze psicologiche che incoraggiano una certa azione – per esempio, "Clicca per una ricompensa" o "Clicca qui per evitare qualcosa che non vuoi che succeda". Lo studio sottolinea che, contrariamente a quanto si pensa, non sono solo gli utenti di internet inesperti a cadere vittima delle truffe on-line. Infatti, la portata delle frodi on-line sembra indicare che i cybercriminali riescano a ingannare tutte le tipologie di utenti. Secondo il Professor Hollin: "Date le giuste condizioni in termini di capacità di persuasione della comunicazione e la combinazione critica di fattori personali e circostanziali, la maggior parte delle persone potrebbe essere vulnerabile a informazioni fallaci. Ciò è vero sia per gli utenti di computer esperti sia inesperti: mentre l'ingenuità potrebbe essere una spiegazione parziale, anche gli utenti più preparati possono essere tratti in inganno e influenzati da messaggi illusori."


Il report di McAfee "Giochi Psicologici" suggerisce anche che i truffatori digitali ricercano accuratamente i punti deboli della mente e le molle da far scattare nelle potenziali vittime – come cercando nuovi titoli di notizie di portata globale in grado di suscitare interesse o compassione o agganciandosi ai più seguiti eventi sportivi per creare tranelli psicologici più verosimili.

I cybercriminali stanno anche traendo vantaggio dai nuovi trend sociali. La generazione di MySpace e Facebook, con il tipico utilizzo informale e frequente delle e-mail e degli aggiornamenti del sito, spesso non riesce a mettere in discussione la legittimità di e-mail o link e gli utenti sono diventati vittime ignare sia di phishing sia di furto di identità. Greg Day, security analyst di McAfee ha dichiarato: "I criminali apprendono dall'esperienza e diventano sempre più sofisticati: imparano quali tecniche hanno successo, chi cade in quale tranello, cosa aggira la sicurezza e così via. Come gli uomini della strada sono costantemente alla ricerca di nuovi trucchi, allo stesso modo i truffatori digitali hanno bisogno di sempre nuove opportunità per sfruttare le vittime digitali. Oltrepassando le barriere mentali, piuttosto che i software di sicurezza, è una tattica in evidente aumento da parte dei cybercriminali e un metodo che continuerà a diventare sempre più fruttuoso nella marea degli attacchi online".

Citazione:

---

Originariamente Scritto da Punto Informatico

Ruba la password a migliaia di utenti Gmail


Roma - G-Archiver è destinato agli utenti Gmail attenti alla propria corrispondenza: in vendita dallo scorso anno permette loro di archiviarla, assicurarla e proteggerla sul disco fisso. Quel che l'utente scopre solo ora è che G-Archiver ha succhiato le sue username e password Gmail e le ha diligentemente inviate all'autore del codice.

A smascherare la truffa è stato lo sviluppatore Dustin Brooks: era alla ricerca di un tool che gli consentisse di mettere al sicuro parte della propria corrispondenza accumulata negli anni. G-Archiver, shareware destinato agli utenti Windows, sembrava rispondere a queste esigenze. Brooks lo ha provato e ha deciso di sbirciare nel codice. Orrore e raccapriccio: John Terry, ritenuto l'autore di G-Archiver, aveva inserito nel codice sorgente il proprio indirizzo email e la propria password, affinché G-Archiver gli recapitasse email e password di chiunque utilizzasse il software.

Brooks ne ha avuto conferma accedendo alla casella email che compariva nel codice: erano 1777 i messaggi ad oggetto account nei quali erano contenute le credenziali di tutti coloro che avevano utilizzato G-Archiver. L'ultimo in ordine di arrivo era proprio quello che mostrava i dettagli del suo indirizzo email. Tempestivamente ha modificato la password della casella, ha eliminato tutti i messaggi recapitati da G-Archiver, ha segnalato a Google il problema e ha reso pubblico quanto scoperto.
La rete è in subbuglio: blogger, giornalisti ed altri ripercorrono articoli e post nella speranza di non aver raccomandato l'uso di G-Archiver, rinfrescano le regole di sicurezza e rinnovano i moniti a non sparpagliare i propri dati. Si parla di etica della programmazione e della fiducia cieca e malriposta con cui gli utenti fruiscono delle applicazioni.

C'è anche chi sottolinea come gli effetti della fuga di dati personali possano risultare anche più gravi di quanto stimato: gli account Google non danno certo accesso alla sola corrispondenza. Qualora gli utenti non decidano di implementare più stringenti misure di sicurezza, c'è un'unica password a proteggere tracciati delle sessioni online, materiale prezioso da rivendere agli inserzionisti, ma anche documenti potenzialmente riservati che aziende e individui preferiscono elaborare condividere e conservare in rete.

Nel contempo, Russ Mate, a capo dell'azienda che ha prodotto il software, si è dichiarato sconvolto, ha promesso di indagare sull'accaduto e di rimuovere qualsiasi link al download del prodotto. G-Archiver non si può scaricare né acquistare dalla pagina ufficiale, ma sono ancora innumerevoli i siti che ne raccomandano l'acquisto. C'è addirittura chi assicura che G-Archiver, testato dai competenti membri dello staff, sia spyware free.

Gaia Bottà

---

Ocio... :sisi:

http://www.av-comparatives.org/images/logo.jpg

AV-Comparatives, nuovo report

Uscita la nuova comparativa tra gli antivirus, relativa alla sola scansione On Demand, quindi bisognerà aspettare qualche mese per vedere i risultati dell' euristica e, di conseguenza, tirare le conclusioni.

In ogni caso, qui trovate la solita tabella comparativa, piuttosto scarna a dirla tutta, mentre qui potete scaricare il report completo in PDF.

Da segnalare che tra gli antivirus freeware, AVG risulta il meno efficace complice soprattutto uno 0 spaccato nel riconoscimento di un set di virus polimorfici.

Nota di merito, invece, per l' eccellente prestazione del Trustport, antivirus figlio della Repubblica Ceca che, ad essere sincero, ignoravo... :asd:

http://www.adobe.com/images/shared/d...ash_player.png

Adobe Flash Player - Zero-day exploit in veloce espansione

Oltre 20.000 siti sono stati compromessi e sono stati infettati con un exploit che sfrutta una vulnerabilità presente nelle ultime due release 9 di Adobe Flash Player.

Questo exploit permette di eseguire codice arbitrario sul computer del visitatore. Vista l' ampissima diffusione di questo componente, la Symantec che sta studiando il fenomeno suggerisce fortemente di disinstallare il componente ( Adobe Flash Player ) o di installare estensioni per browser come NoScript.

Ovviamente vale il solito consiglio, navigate solo su siti sicuri, fermo restando che non è possibile stimare quanti siti verranno infettati.

Tengo a sottolineare che il problema è presente sia sulle versione Windows che su quelle Linux del player.

Quanti di voi hanno l'abitudine di controllare a mano sul registro i programmi che partono in avvio automatico?

Questa chiave è familiare a molti, così come RunServices e le relative copie sotto HKCU.

Codice:

---

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

---

A quanto pare una vecchia chiave sconosciuta ai più è tornata in auge come metodo per lanciare malware in contemporanea a software innocuo.
Nello specifico, tramite questa chiave

Codice:

---

HKey_Local_Machine\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

---

è possibile associare a un eseguibile sicuro l'avvio di un altro, non altrettanto innocuo.

In questa immagine si vede come ad ogni avvio di notepad.exe venga lanciato anche un altro eseguibile, in questo caso un innocuo debugger. Che in realtà è lo scopo originario di quella chiave, fare debugging al volo di un eseguibile.


http://vil.nai.com/images/blog_IFEO_01.jpg


Come accorgersi di questo? Ovviamente non tramite msconfig, ma come al solito i tools di SysInternals possono esserci d'aiuto, nello specifico Autoruns alla voce Image Hijacks.


http://vil.nai.com/images/blog_IFEO_02.jpg

Modalità Provvisoria? Non sempre è sufficiente.


http://vil.nai.com/images/safemode_kishore_03102009.GIF



In primis noi utenti e moderatori consigliamo, in caso di scansione e disinfenzione, di effettuare queste operazioni dalla Modalità Provvisoria/Safe Mode di Windows.

Purtroppo questo non è sempre sufficiente, perché è possibile, per un eventuale malware, inserire il proprio avvio nelle seguenti chiavi di registro:

Codice:

---

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network

---

Quindi ricordate di controllare a mano, prima di effettuare la scansione, le chiavi sopra citate. Nel caso abbiate dubbi sul loro contenuto, come sempre potete postarlo sul forum e chiedere supporto.

Fake Report Attack Site Trick


È in giro un nuovo metodo, molto subdolo, per l'installazione di rogue antivirus ( malware che è costruito in modo da assomigliare a veri antivirus/antimalware ).

Nello specifico viene presentata la classica pagina di Firefox che avvisa della presenza di software malevolo (!), ma l'unica scelta effettuabile è quella di scaricare un update per Firefox ( ovviamente falso e differente dalla vera pagina ).



Vero avviso


http://www.f-secure.com/weblog/archi...orig-block.PNG



Versione falsa



http://www.f-secure.com/weblog/archives/1-blockpage.PNG


Nel caso sia abilitata la gestione degli javascript, il download viene effettuato in modalità automatica, anche se necessità comunque di una conferma da parte dell'utente:


http://www.f-secure.com/weblog/archi...ewithnotif.PNG



La stessa tecnica viene utilizzata per il browser Chrome, anch'esso fornito di un sistema di avvisi nel caso di siti potenzialmente pericolosi:


http://www.f-secure.com/weblog/archives/chromeblock.PNG