About these ads

Archive

Posts Tagged ‘Cina’

La Sindrome Cinese

February 17, 2011 Leave a comment

Nel giorno in cui anche alla RSA Conference 2011 è stato ribadito che “E’ ora di prepararsi per le minacce mobili”, la Sindrome Cinese ha nuovamente colpito l’Androide che, in poche ore, è stato vittima di un nuovo malanno informatico. Ancora proveniente dalla Cina, ancora caratterizzato dal fatto di utilizzare come vettore di infezione un store di applicazioni parallelo cinese. A quanto pare quindi il malware Geinimi ha fatto proseliti.

A seguire le sue orme è oggi il malware HongTouTou (conosciuto anche con il nome di Android.Adrd o anche Android/Adrd.A nella sua ultima variante).

Le dinamiche di questo nuovo contagio dell’Androide Cagionevole (che alcuni ritengono essere una variante di Geinimi) sono le medesime, purtroppo collaudatissime, del suo illustre predecessore: il malware è rimpacchettato dentro applicazioni Android popolari e distribuito tramite market di applicazioni parallele e forum frequentati da utenti di lingua cinese. Ovviamente l’utente dovrebbe accorgersi dei permessi sospetti richiesti durante la fase di installazione.

Il malware, di cui sono state rilevate 14 istanze, è impacchettato dentro applicazioni lecite (tra cui il famosissimo Robo Defense con cui ho passato ore di riposo all’ombra di un ombrellone sotto il Sol Leone dell’Agosto passato). Una volta installata l’applicazione richiede i seguenti permessi, in realtà un po’ sospetti per un semplice passatempo o per un wallpaper:

android.permission.WRITE_APN_SETTINGS
android.permission.RECEIVE_BOOT_COMPLETED
android.permission.ACCESS_NETWORK_STATE
android.permission.READ_PHONE_STATE
android.permission.WRITE_EXTERNAL_STORAGE
android.permission.INTERNET
android.permission.MODIFY_PHONE_STATE

 

All’avvio dell’applicazione infetta,  il malware si insinua nel telefono colpito viene eseguito al verificarsi di una delle condizioni sottostanti:

  • Sono passate 12 ore dell’avvio del Sistema Operativo;
  • E’ cambiata la connettività di rete (ad esempio è stata persa e ristabilita);
  • Il dispositivo infetto riceve una chiamata.

All’avvio il Trojan tenta di rubare le seguenti informazioni;

  • 3gnet
  • 3gwap
  • APN
  • cmnet
  • cmwap
  • Hardware information
  • IMEI
  • IMSI
  • Network connectivity
  • uninet
  • uniwap
  • Wifi

e le invia cifrate ad una coppia di domini remoti:

http://adrd.taxuan.net/index
http://adrd.xiaxiab.com/pic.

 

In risposta, HongTouTou riceve una pagina Web, ed un insieme di parole chiave di ricerca da inviare come query. Le richieste vengono inviate ad alcuni link noti. Un esempio di stringa è la seguente:

wap.baidu.com/s?word=[ENCODED SEARCH STRING]&vit=uni&from=[ID]

 

Lo scopo delle query è quello di incrementare il ranking e quindi la visibilità del sito Web.

A questo punto il malware emula il processo di richiesta utilizzando le parole chiave, analizza i risultati della ricerca con il ranking maggiore ed emula i click su specifici risultati, come se fosse l’utente ad effettuarli. Per il motore di ricerca truffato, le richieste sembrano provenire da un utente mobile che utilizza come browser il programma UCWeb Browser, “casualmente” un progamma di navigazione mobile “Made in China” (l’User-Agent corrisponde a J2ME/UCWEB7.4.0.57).

Il malware inoltre è in grado di scaricare pacchetti di installazione Android APK e quindi di autoaggiornarsi. Anche se ancora non è stato osservato sembrerebbe che il malware sia anche in grado di monitorare le conversazioni SMS e inserire contenuto inopportuno all’interno della conversazione SMS.

Ancor prima di dotarsi di una applicazione anti-malware mobile, come al solito le raccomandazioni sono sempre le stesse:

  • Evitare, a meno che non sia strettamente necessario, di abilitare l’opzione di installazione delle applicazioni da Sorgenti Sconosciute (pratica definita anche “sideloading”).
  • Fare attenzione in generale a ciò che si scarica e comunque installare esclusivamente applicazioni da sorgenti fidate (ad esempio l’Android Market ufficiale, le cui applicazioni non sono infette). Buona abitudine è anche quella di verificare il nome dello sviluppatore, le recensioni e i voti degli utenti;
  • Controllare sempre i permessi delle applicazioni durante l’installazione. Naturalmente il buon senso corrisponde al migliore anti-malware per verificare se i permessi sono adeguati allo scopo dell’applicazione;
  • Fare attenzione ai sintomi comportamenti inusuali del telefono (ad esempio SMS inusuali o una sospetta attività di rete) che potrebbero essere indicatori di una possibile infezione.

Aldilà delle raccomandazioni, applicabili in qualsiasi contesto, non posso fare a meno di notare che HongTouTou (o Android.Adrd) è il secondo malware per l’Androide proveniente dalla Cina in meno di due mesi. Poiché sovente i produttori cinesi di sicurezza sono  stati accusati di mettere in circolazione essi stessi il malware per promuovere i propri prodotti, mi domando a questo punto se certe scorciatoie non siano sbarcate anche nel mondo mobile…

About these ads

Dalla Cina Con Furore Arriva Il Dragone Della Notte

February 10, 2011 6 comments

Non sto parlando del titolo di un film di Bruce Lee in versione notturna, ma dell’ultimo arrivato nella poco ambita Hall Of Fame dei malware aventi come obiettivo le infrastrutture critiche.

Non si è ancora spenta l’eco del Virus Delle Centrali Nucleari che dalla Terra Dei Mandarini arriva un nuovo malware avente come obiettivo gli impianti di Olio, Gas e Petrolchimici. Secondo McAfee, che ha scoperto e battezzato il malware dagli occhi a mandorla con il nome di Night Dragon (che richiama suggestive e mitologiche immagini d’oriente), da novembre 2009, alcuni impianti di raffinazione in diversi paesi sono stati vittime di numerosi eventi malevoli, caratterizzata da un presunto focolaio cinese, e che hanno coinvolto numerose tecniche: dal social engineering, allo spearphishing, passando, tanto per cambiare, attraverso le immancabili vulnerabilità di Windows, la compromissione di Active Directory ed infine l’utilizzo di strumenti di amministrazione remota. Il tutto con l’obiettivo di raccogliere informazioni classificate appartenenti alla sfera tecnologica (quindi decisive nei confronti della concorrenza) e alla sfera finanziaria (ad esempio finanziamenti di progetti o gara d’appalto). Informazioni comunque contraddistinte dal minimo comune denominatore di appartenenza a tecnologie di produzione di impianti olio, gas e petrolchimico.

 

Dettagli Dell’Attacco

L’attacco del Dragone ha metaforicamente applicato il suo alito di fuoco verso le infrastrutture vittima mediante diversi fattori eterogenei di attacco in grado di penetrare progressivamente l’infrastruttura vittima. Le spire hanno avvolto gli obiettivi mediante:

  1. Compromissione dei web server della Extranet vittima tramite tecniche di attacco di tipo SQL Injection che hanno consentito l’esecuzione remota di comandi;
  2. Nei server compromessi sono stati caricati strumenti di controllo remoto utilizzati per trasformare i server compromessi in ponti di att(r)acco per accedere dall’esterno alla intranet e di conseguenza alle informazioni sensibili ivi contenute  e memorizzate nei desktop e server interni.
  3. Ulteriore accesso nell’intimità della intranet violata è stato ottenuto mediante la presa con la forza bruta (o meglio con la brute force) di ulteriori nome utente e password;
  4. Utilizzando i server Web Compromessi come server di comando e controllo (C&C), gli attaccanti, nella realtà, si sono resi conto che la sola disabilitazione delle impostazioni del proxy dal browser Microsoft Internet Explorer (IE) si è rivelata sufficiente per ottenere una connessione remota diretta alle risorse interne.
  5. Mediante malware di Controllo Remoto innestato (RAT Remote Access Tool), gli attaccanti sono stati in grado di connettersi ad altre macchine arrivando infine ai desktop papaveriali (ovvero le postazioni degli alti dirigenti) in cui hanno provveduto alla ovvia e sistematica razzia di archivi di posta elettronica ed altri documenti sensibili.

Gli attacchi hanno avuto origine all’interno della Grande Muraglia [ci sarebbe voluto un Great (Fire)wall] ed hanno utilizzato alcuni server acquisiti da servizi di hosting degli Stati Uniti per compromettere alcuni server in Olanda, e sferrare da questi ultimi virulenti attacchi contro corporation del settore Oil, Gas e Petrolchemical in Kazakistan, Taiwan, Grecia e Stati Uniti per rubare le informazioni.

E’ interessante notare il fatto che, per distribuire nelle macchine  remoto gli strumenti di controllo remoto (alcuni fatti in casa, altri “standard”), gli attaccanti abbiano utilizzato non solo tecniche di SQL Injection, ma anche ben più ingenue mail di phishing dirette verso le postazioni dei dipendenti, dipendenti che con un semplice click su un link compromesso hanno letteralmente aperto le porte (TCP) al malware che, una volta installato, ha provveduto alla sistematica raccolta di credenziali di dominio utilizzate poi per installarsi su ulteriori vittime e di conseguenza propagarsi ulteriormente nella intranet.

Una volta compromessi i sistemi interni, gli attaccanti hanno ottenuto le account di amministrazione interne e di Active Directory e le hanno utilizzate per aprire le porte sul retro (backdoor) dei sistemi ed impiantare cavalli di troia per bypassare le mura di protezione costituite dalla difesa perimetrale e dalle policy di sicurezza, arrivando, in alcuni casi a disabilitare i moduli anti-virus e anti-spyware a bordo dei desktop.

Tra gli strumenti di controllo remoto più utilizzati per questo attacco, McAfee ha rilavato il cavallo di troia zwShell, di cui gli attaccanti hanno sviluppato dozzine di varianti utilizzate per compromettere ed esportare (dumpare in termine tecnico) il database delle password di Windows (il famigerato SAM). Lo Zio SAM  è stato successivamente crackato con uno strumento standard dalle cupe bibliche reminescenze: Cain & Abel.

Una volta terminata l’operazione di recupero password è iniziata la razzia di file relativi a contratti e progetti (in acluni casi addirittura dati dai sistemi SCADA).

 

Conclusione

Leggendo in sequenza i vari documenti sino ad ora pubblicati, il mio morboso entusiasmo da professionista della sicurezza si è progressivamente smorzato. Speravo Pensavo di essere davanti ad un novello Stuxnet, ed invece mi sono ritrovato di fronte ad un “semplice” Cyber-attacco, pur sempre perpetrato in maniera massiva verso infrastrutture critiche, ma comunque facente uso di una combinazione, per quanto complessa e ben congegnata, di tecniche “tradizionali”.

Sorprende semmai il fatto che una operazione di cosi vasta portata sia stata avviata utilizzando come appiglio iniziale per l’attaccante due tipologie di attacco tutto sommato relativamente conisciute (ma non per questo semplici da contrastare): il classico SQL Injection e l’altrettanto noto phishing. E proprio in questo punto giace il paradosso: il termine Cyberattack evoca chissà quali misure in grande per contrastare minacce planetarie alle infrastrutture critiche e poi si scopre che le nostri fonti di energia possono essere compromesse da una tipologia di attacco (l’iniezione SQL) mitigabile da una normale sana attività fisica (oops di patching!), ed una tipologia di attacco, il phishing, arcinota e che non può essere contrastata pienamente da nessuna contromisura tecnologica, ma soltanto da una educazione responsabile dell’utente per l’uso del mezzo internet. Proprio in questo punto giace la difficoltà: per l’SQL Injection esistono i firewall applicativi e le patch… Per il cervello umano ancora no…

Stuxnet, Bufale E Dragoni: Il giorno dopo le rivelazioni del NYT

January 20, 2011 1 comment

L’ondata del giorno dopo sembra stia un po’ mitigando il fuoco mediatico appiccato dal New York Times, dopo la pubblicazione dell’articolo in cui si sosteneva un complotto USA Israeliano, alla base del virus Stuxnet.

I delatori sostengono che il NYT sia spinto un po’ troppo oltre nelle sue speculazioni e che la tesi del patto tra Washington e Tel Aviv non regga per almeno 4 motivi:

  • In primo luogo la ricostruzione del NYT non riporta alcuna prova del fatto che il malware sia stato realizzato nel complesso di Dimona, né appare plausibile che qualche gola profonda sia lasciata sfuggire il segreto verso un giornalista occidentale, vista la particolare attenzione del Mossad nei confronti di chi ha la cattiva abitudine di rivelare segreti militari ai giornalisti stranieri;
  • La dichiarazione del direttore del Mossad Meir Dagan, il giorno prima del suo pensionamento, in cui ha annunciato al Knesset che l’Iran non sarebbe stato capace, al contrario delle previsioni, di sviluppare un’arma nucleare sino al 2015, è stata presa dal quotidiano d’Oltreoceano come ulteriore prova del coinvolgimento israeliano. Il NYT tuttavia non riporta il disaccordo relativo alla dichiarazione, da parte del Primo Ministro Israeliano;
  • Ancora prima della pubblicazione del report dell’Agenzia Internazionale per l’Energia Atomica (IAEA) del 23 novembre era noto che l’Iran stesse incontrando problemi per la produzione dell’Uranio arricchito, ma mentre alcuni fanno risalire la causa dei problemi di produzione al virus Stuxnet, altri li riconducono all’utilizzo di macchine obsolete della famiglia P-1. Nello stesso giorno è stato pubblicato un documento di analisi del report da parte dell’Institute for Science and Security (ISIS), dove si indicava che nello stesso periodo l’Iran aveva incrementato la propria efficienza di operazione in quasi tutti i parametri.
  • Diversi esperti di sicurezza israeliani sostengono che la concezione del virus è troppo semplice per essere stata sviluppata da Israele per scopi militari;
  • Qualcuno ha anche riscontrato una inesattezza cronologica negli articoli del NYT (ma questo forse è un peccato veniale), facendo risalire l’inizio dell’infezione informatica a luglio 2009, ovvero un anno prima della scala cronologica del virus contenuta nel Report Symantec.
  • Un ulteriore documento ISIS “Did Stuxnet Take Out 1,000 Centrifuges at the Natanz Enrichment Plant?” sostiene che l’impatto di Stuxnet è stato, tutto sommato, limitato, ed ha interessato un numero limitato di centrifughe (modello IR-1 che tra il 2008 e il 2009 hanno sostituito le obsolete P-1), riuscendo in definitiva, solo parzialmente al suo scopo ed in maniera limitata nel tempo. Strategia diversa da quella sostenuta dal Primo Ministro Israeliano che ritiene le sanzioni come mezzo principale per contrastare la strategia nucleare dell’Iran, e l’opzione militare come seconda scelta.

Aspetto interessante, che ancora mancava all’appello, è costituito dalla presunta, immancabile, pista cinese per il malware, la quale, suffragata da alcune ipotesi, sta cominciando ad acquisire una certa (in)credibilità:

  • I miscelatori attaccati da Stuxnet sono prodotti in Cina da un’azienda finlandese (Vacon);
  • Il primo certificato digitale falsificato (e rubato) da Stuxnet appartiene a RealTek che ha una sede in Cina, nella stessa città (Suzhou) dove vengono prodotti i miscelatori Vacon;
  • La Cina ha accesso diretto al codice sorgente di Stuxnet, che avrebbe consentito di sviluppare così velocemente 4 nuove vulnerabilità 0-day;
  • L’infezione di Stuxnet è arrivata in Cina con 3 mesi di ritardo rispetto al resto del mondo, nonostante la massiccia diffusione di tecnologia Siemens nel paese dei Mandarini. Ironia della sorte, la notizia dell’infezione di milioni di PC appartenenti a 1000 impianti (infezione di cui sono stati accusati gli americani) è stata rilasciata da un produttore locale, Rising International, accusato di aver corrotto un funzionario, condannato a morte, per aver sparso terrorismo psicologico, intimando agli utenti di scaricare un antivirus della stessa azienda per proteggersi da un nuovo tipo di infezione (sembrerebbe che la pratica di sviluppare i virus sia molto diffusa tra i produttori cinesi che poi rivendono ai poveri consumatori gli antidoti informatici).

Perchè Stuxnet avrebbe gli occhi a mandorla? La risposta è (quasi) semplice: Pechino vorrebbe fermare la proliferazione nucleare dell’Iran, mostrando comunque un atteggiamento riverente nei confronti del suo terzo maggior fornitore di petrolio: e allora quale miglior modo del buon vecchio metodo: “un colpo al cerchio e uno alla botte”? Che significa criticare da un lato le sanzioni internazionali e sabotare dall’altro le centrali nucleari con un virus informatico?

Tesi realistica o Fantapolitica? (o meglio fantascientifica?), o più semplicemente controinormazione da pare di chi vuole nascondere la vera origine del virus? (Di nuovo) ai posteri l’ardua sentenza. Io intanto aspetto che venga scoperta qualche attinenza con la storia cinese relativamente a date e simboli contenuti all’interno del codice di Stuxnet, che magari non avrà raggiunto l’obiettivo di sabotare tutte le centrali nucleari iraniane, ma  è comunque riuscito nel ben più difficile intento di attirare su di sè l’attenzione di ricercatori e giornalisti di tuto il globo (sollevando severi interrogativi sul fatto che le le infrastrutture critiche siano effettivamente pronte ad affrontare minacce di siffatta portata).

Follow

Get every new post delivered to your Inbox.

Join 2,994 other followers