Wannacry. Attacco Hacker o una falla di sicurezza?

Diciamo, innanzitutto, che, come al solito, il "main stream media trash" continua a confondere e a sminuire l'etica dei "cappelli bianchi" chiamati comunemente HACKER. Personalmente, penso che sarebbe stato più corretto fare riferimento ai CRACKER chiamati anche "Black Hat Hacker”.

ATTACCO INFORMATICO? Penso che le cose siano andate diversamente. Sarebbe più corretto dire che si tratta di una semplice diffusione di un Malware (categoria Ramnsonware) su larga scala, determinata dalla mancanza di sicurezza dell'Intelligence americana.

Sbagliato dire "attacco hacker" in quando non prende di mira nessuno in particolare. Per diffondere questo Malware sono stati utilizzati i classi canali noti da sempre: email contenenti un allegato infetto oppure un link ad un pagina web inviati in maniera massiva.

La disinformazione è evidente anche con i media occidentali, come ad esempio la testata web telegraph.co.uk e le tv italiane, che sostengono che la minaccia viene dalla Russia dimenticando però di dire che è proprio questa a essere la nazione più colpita da Wannacry.

Per capire la genesi di Wannacry dobbiamo partire dal 2016 quando il gruppo di curiosoni malintenzionati chiamati "The Shadow Brokers" ha violato i server della National Security Agency (NSA, Agenzia per la Sicurezza Nazionale) rubando, di fatto, diversi strumenti abbastanza sofisticati (software exploit) utilizzati dagli Americani per lo spionaggio informatico verso aziende e governi di tutto il mondo.

I materiali rubati sarebbero collegati all'arsenale di "Equation Group", una squadra di informatici al servizio del governo Americano che in passato avevano effettuato operazioni di cyberwar (guerra informatica). Equation Group nel 2006, in collaborazione con gli “amiconi” Israeliani, realizzò il Malware “Stuxnet” con lo scopo di compromettere e rallentare il programma nucleare iraniano.

L'attacco informatico di "The Shadow Brokers" fu progettato ed eseguito con l'obiettivo di trarre un profitto monetario mettendo in vendita il materiale rubato per una cifra di circa 6 milioni di dollari. I risultati dell'esito della vendita sembrano essere incerti. Quello che è sicuro, invece, è che nel mese di aprile 2017 sono stati annunciati e pubblicati su Wikileaks (Vault 7) diversi furti di materiale custoditi nei server dell'NSA come documenti segreti e tecniche di infiltrazione utilizzate dalla CIA.

Tra gli strumenti (exploit) rubati in grado di superare le difese di sicurezza del sistema operativo Windows, troviamo "Eternal Blue" utilizzato infatti come cuore del Ramnsonware Wannacry.

La diffusione su larga scala del Malware Wannacry è quindi dovuta alla falla di sicurezza del sistema operativo Windows, scoperta dagli Americani e tenuta segreta semplicemente per essere utilizzata in caso di guerra informatica. 

In questo contesto, l'NSA ha anche violato il patto governativo chiamato "Vulnerability Equities Process", ossia l'obbligo di comunicare le vulnerabilità dei software alle aziende proprietarie. Sta di fatto che l'NSA ha comunicato la vulnerabilità (SMB Server - 4013389) a Microsoft "in evidente netto ritardo".

È opportuno ora chiederci: se l'NSA avesse comunicato a Microsoft la vulnerabilità quando l'ha scoperta, e non quando l'ha perduta, tutto questo sarebbe successo?

Come possono gli autori del Malware Wannacry progettare un sistema apparentemente sofisticato e poi lasciare banalmente in chiaro le istruzioni per essere disattivato?

Come possono gli autori del Malware Wannacry non pensare alla "randomizzazione dei domini" per rendere più difficile la disattivazione?

Ci dobbiamo aspettare una seconda versione del Malware più sofisticata?

Per concludere, i miei complimenti al reparto Marketing di MalwareTech e al giovane 22 enne Darien Huss.

RIFERIMENTI:

https://www.nytimes.com/2017/05/12/world/europe/uk-national-health-service-cyberattack.html

https://cdn.securelist.com/files/2017/05/wannacry_03.png

https://www.rt.com/news/388228-wannacry-russian-railways-banks/

http://www.telegraph.co.uk/news/2017/05/12/russian-linked-cyber-gang-shadow-brokers-blamed-nhs-computer/

https://nakedsecurity.sophos.com/2016/08/16/did-the-shadow-brokers-hack-nsa-cyberweapons-worth-500m/

https://www.youtube.com/watch?v=CbVeWjKsOy4

https://www.youtube.com/watch?v=9vgVvTBirpg

http://www.lastampa.it/2017/04/15/tecnologia/news/gli-attacchi-della-nsa-finiscono-online-a-rischio-alcuni-utenti-windows-e-banche-gqt1KTZJMBTvPYiZB0YGrM/pagina.html

https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/

Aspetti di sicurezza in sistemi Android

Si prevede che il sistema operativo mobile Google raggiungerà entro il 2019 circa l’83% del mercato globale, contando più di un miliardo di dispositivi Android in uso. La diffusione del sistema va oltre lo smartphone e il tablet, modificando anche TV, automobili e dispositivi indossabili (wearable). Attraverso un’analisi dettagliata del funzionamento del Malware Android, l’autore vuole suscitare nei sui lettori la consapevolezza dei rischi connessi all’installazione di applicazioni, analizzando step-by-step gli aspetti di sicurezza legati all’architettura software della piattaforma Android. Come parte pratica di questo testo, l’autore ha progettato un Malware per analizzare un caso di studio di cyberspionaggio sfruttando la piattaforma Android. Chi ha scritto questo libro, inoltre, affronta anche gli aspetti legali del concetto di privacy in Italia, del nuovo regolamento UE 2016/679 e del parere dei garanti europei (Art. 29 WP) in merito alla protezione dei dati personali. Questo lavoro, quindi, non è rivolto solo agli sviluppatori di applicazioni, ma anche a tutti coloro che sono interessati alla cyber security (sicurezza informatica), i quali con approccio top-down possono approfondire i meccanismi interni di sicurezza di Android e le vulnerabilità più comuni delle applicazioni mobile.

ISBN: 9788826043876

DISPONIBILE SU:

AMAZON

GOOGLE PLAY STORE

LIBRERIA HOEPLI E-BOOK

Scienza Forense e Sicurezza informatica

Esiste, infatti, una forte correlazione tra “Scienza Forense” e “Sicurezza informatica”.  La sicurezza informatica ha come proposito l’avvicinarsi alla realizzazione di sistemi sempre più sicuri, ma nel momento in cui il grado di sicurezza venisse innalzato, potrebbe diventare quasi impossibile estrarre il contenuto informatico dal dispositivo. La sicurezza informatica, quindi, potrebbe essere vista sia come elemento di ostacolo sia come fonte di strumenti e risorse utili per la forense. In questo caso potrebbe essere necessaria la “violazione autorizzata” del sistema in esame e, di conseguenza, la sicurezza informatica anche in questo caso potrà essere d’aiuto per effettuare un’ulteriore approfondimento delle tecniche di hacking utili per realizzare l’accesso alle informazioni protette. 

Skype vlc w32codecs su ubuntu 9.10

Medibuntu (Multimedia, Entertainment & Distractions In Ubuntu) è un repository di pacchetti che non sono inclusi nella distribuzione Ubuntu per ragioni di licenza. Tra questi, vi sono ad esempio: il pacchetto contenente la libreria libdvdcss, ottenuta dal progetto VideoLAN e il pacchetto esterno di codec binari usati da MPlayer e xine, comunemente conosciuto con il nome di w32codecs. Per installare corettamente Skype e vlc su Ubuntu 9.10 bisogna seguire questi semplici passaggi:

sudo wget http://www.medibuntu.org/sources.list.d/$(lsb_release -cs).list \
--output-document=/etc/apt/sources.list.d/medibuntu.list

sudo apt-get --yes -q --allow-unauthenticated install medibuntu-keyring

sudo apt-get -q update

sudo apt-get install skype

sudo apt-get install vlc

Infine se vogliamo installare i w32codecs che forniscono ulteriori codec per potere leggere i file multimediali nativi di windows:

sudo apt-get install w32codecs

Una volta che abbiamo installato il repository Medibuntu, abbiamo accesso a molte altre applicazioni multimediali.

OpenOffice.org passa a Mercurial

La comunità OpenOffice.org (OOo) che sostiene lo sviluppo della suite per ufficio open source ha recentemente annunciato che la gestione del codice sorgente(source code management) sarà gestita da Mercurial. Mercurial è un sistema completamente decentralizzato, ciò significa che non ha il concetto di repository centrale. In questa maniera gli utenti sono liberi di organizzare la propria topologia per condividere le modifiche. Gli sviluppatori del progetto ritengono che Mercurial rispetto ad altri strumenti di distribuzione del codice sorgente come ad esempio Git o Bazaar e a aderente alle esigenze complessive di OOo in quando offrè facilità d'uso,flessibilità e prestazioni. Secondo l'annuncio, il codice di sviluppo DEV-300 passerà per primo a Mercurial e in seguito anche il codice di sviluppo DEV-OOO320. Il primo cambiamento si verificherà "intorno al 26 ottobre". Infine per saperne di piu, consiglio di seguire la mailing list di OOo nelle prossime due settimane.

http://mercurial.selenic.com/wiki/

Comandi più importanti per Linux

Here View the orders which are in use by

pwd: display the full path to the current folder
ls: Show all files in the current folder
ls -al: Show all files and information
ls -alR: Show all files and subfolders in the information
ls -alR > filename.txt: such as ls-alR, but leave the result in the file
ls *. html: All files ending spill. html
cd [directory name]: change the current folder to another to be determined to write his name
cd .. : The current pace of change in volume one of the highest
clear: clean up the screen
vdir: give more information than it ls
exit: exit for the registration of Hel

Transfer, copying and scanning of files:

mv [old filename] [new filename]: the transfer or rename a file
cp [filename] [new filename]: to copy the file
rm [filename]: file of the survey
rm *: delete all the files in the current folder
rm *. html: a survey of all the files that the extension of expiring. html
rm -rf [directoryname]: survey of the entire volume

Create, move, copy and scan folders:

mkdir [directory name]: Create a new folder
ls -d * /: display all the folders within the current folder
cp -r [directory] [new directory]: copies of all files and folder within the new stripes

Search for files and folders:

find -name [filename]-print: to search for the file
grep [********************************] [filename]: the search for text within the file

Permits files and folders:

There are three levels of permits files are: reading Read, Write and write implementation execute, there are also three sets to give such permits: Owner or Owner, Group and User Group for all everyone.
Chmod is used followed by Ptlatp numbers of permits, the first number is the owner of the Owner, and the second number of the Group and the third one is for all Everyone .. This interpretation of the numbers and levels of these permits:

0 = --- No permission
1 = - X Execute only
2 =-W-Write only
3 =-WX Write and execute
4 = R - Read only
5 = R-X Read and execute
6 = RW-Read and write
7 = RWX Read, write and execute


Always prefer to give a statement (0) to a Group in order to prevent the other users to browse the files from the server using the Telnet or FTP until

These are some of the most common permits:

chmod 604 [filename]: less of a statement to the Mphat Html
chmod 705 [directory name]: less a statement of volumes
chmod 755 [filename]: the least of the programs and permit Alascrepettat
chmod 606 [filename]: statement of the least used by Mphat Alascrepettat
chmod 703 [directory name]: read-only permission for the Public FTP


Now the process is how to decompress the archive?

If the file extension ends. Zip File.zip for example, your writing is:
unzip file.zip

If the file extension ends with. Tar example file.tar your writing:
tar -xvf file.tar

If the file extension ends with. Gz file.gz like your writing:
gzip -d file.gz

If the file extension ends with. Tar.gz example file.tar.gz your writing:
gzip -d file.tar.gz
Therefore:
tar -xvf file.tar

How to backup the database:

mysqldump -u db_usr_name -p PASSWORD db_name > file name.SQL

How to retrieve database saved by:

mysql -u db_usr_name -p PASSWORD db_name < style="font-weight: bold;">How the pressure of the database:

tar -czvf file name.tar.gz file name.SQL

How to decompress the archive on the database:

tar -zxvf file name.tar.gz

How to do backup of all databases for a particular user:

mysqldump -u root -all-databases | gzip > mysql_username.sql

Some other commands:

tail: like cat, but just read the end of file
tail / var / log / messages to see another 20 lines of / var / log / messages
tail -f / var / log / messages: continuing to watch for file changes during the
tail -200 / var / log / messages: print the last line of the file 200 on the screen

more: like cat
more / etc / userdomains: to browse through the file userdomains file.

pico: to use text editor
pico / home / burst / public_html / index.html: Liberation Index page for the user.

vi: another editor of the texts of many of the features, but most of the pico when used for the first time
vi / home / burst / public_html / index.html: also for the Liberation of the Index page for the user.

touch: the establishment of an empty file
touch / home/burst/public_html/404.html: to create a empty file called 404.html in the folder / home / burst / public_html /

ln: the establishment of links between files and folders
ln -s / usr / local / apache / conf / httpd.conf / etc / httpd.conf: Now you can edit / etc / httpd.conf rather than the original file. The changes will appear in the original file, as the survey link that you can change the file without the original.

rm: to delete the file
rm filename.txt: to remove a question of emphasis Confirmation deleted
rm -f filename.txt: delete the file, without question, to confirm the deletion.
rm -rf tmp /: the conversion of tmp folder and includes all the files and subfolders inside.

last: to display the log of the time
last -20: View the last 20 login process
last -20-a: presentation of the last 20 with the registration process to enter the field at the end of Hostmane

w: View current users on the server and logged on and where they are now at this moment.

netstat: View all related now.
netstat-an: offer all the related IP for the server as well as for each contact and the Port or outlet of communication.

top: to display the live system processes in the form of a nice memory, as well as information and Uptime and other useful information, which is very excellent in the management system and to ensure that everything is working well.
Screening by the use of memory to write your top and then Shift M
Screening by the use of your CPU top and then write Shift P

ps: It is short for process status which is similar to the top. It introduced the processes currently operating with the PID or Process ID, which is the definition of the Process or program, you can stop the program from this figure (as well check your orders to Kill
ps U username: display user specific programs
ps aux: Show All Processes or programs that
ps aux - forest: All the programs that work like the previous hierarchy, but very good and useful

du: to display the consumption or use of CD-Disk usage.
du -sh: to display a summary of space used by the current folder, including subfolders.
du -sh *: same thing but this is used for each file or folder basis, which is useful for finding files that reserved a large area

wc: the number of words
wc -l filename.txt: to find the file specified number of lines

cp: copies of the file
cp filename filename.backup: Copy the file to filename.backup
cp -a / home / burst / new_design / * / home / burst / public_html /: copies all files with the retention of permits to another folder

How to know the size of a file or folder:

du -h / home / username / public_html / test


kill: to stop a specific program
kill -9 PID EG: kill -9 431
kill PID EG: kill 10550
Use top or ps ux to determine the PIDs or Process I

For more information on the orders of Linux see:

http://www.sorgonet.com/linux/commands/index.php
http://www.ahinc.com/linux101
http://www.grape-info.com/doc/linux/root/index.html
http://linux.about.com/od/commands/l/blcmdl.htm
http://linux.about.com/od/commands/l/blcmds.htm

vulnerabilità in VLC e FFmpeg

Gli sviluppatori di VLC hanno recentemente rilasciato il codice sorgente della versione 1.0.2 del loro lettore multimediale risolvendo diverse vulnerabilità di sicurezza. Le versioni che vanno dalla 0.5.0 alla 1.0.1 di VLC sono vulnerabili ad uno stack overflow che potrebbe portare all'esecuzione remota di codice arbitrario. Il codice non autorizzato viene eseguito nel momento in cui la vittima esegue un file MP4, ASF oppure AVI. Infine sono state trovate delle vulnerabilità anche in FFmpeg causate principalmente da puntatori NULL e heap overflow.


http://downloads.videolan.org/pub/vlc/1.0.2/

Puppy Linux 4.3

Puppy Linux è una distribuzione GNU/Linux LiveCD sviluppata da Barry Kauler, che si basa sulle dimensioni molto piccole, la portabilità, la leggerezza e la notevole semplicità d'uso. Recentemente è stata rilasciata la Versione Puppy Linux 4.3 con una dimensione di circa 110 mbytes. Puppy Linux 4.3 utilizza la versione 2.6.30.5 del kernel linux che include il supporto stabile al file system ext4. Inoltre è disponibile lo strumento BootFLASH per l'installazione di Puppy Linux su unità flash USB e applicazioni Linux DVB. Il nuovo sistema dispone di un nuovo processo di generazione del sistema operativo che permette la creazione di immagini di Puppy Linux personalizzate utilizzando i pacchetti di qualunque distribuzione. Nel forum Puppy Linux diversi utenti hanno già iniziato a lavorare su Dpup, un sistema Puppy composto da pacchetti Debian. Infine è possible consulatare le note di rilascio per avere maggiori dettagli.

http://www.puppylinux.com/download/release-4.3.htm

http://murga-linux.com/puppy/

Codec Symbian S60/Nokia vulnerabili.

Sulla maggior parte degli smartphone Nokia che hanno installati i codec multimediali utilizzati da RealPlayer per la visualizzazione degli MMS, sono vulnerabili. Le vulnerabilità, possono essere sfruttate da un utente malintenzionato assumento il pieno controllo del programma ed eseguire codice arbitrario. Il Debug è stato effettuato su un smartphone Nokia N96 con la versione del firmware 11.018. Il bug può essere attivato direttamente all'interno di un MMS con un file video incorporato. Le vulnerabilità che sono state trovare sono al momento in queste librerie:

* rarender.dll
* STH264HWDecHwDevice.dll
* clntcore.dll
* HxMmfCtrl.dll
* mdfh264payloadformat.dll
* MMFDevSound.dll
* ArmRV89Codec.dll

Tutti i Nokia / Symbian S60 con RealPlayer sono a rischio. Per il momento consiglio di eseguire questi semplici passi:

* Eseguire aggiornamenti regolari del software
* Non installare applicazioni e servizi non necessari
* Utilizzare il software Anti Virus
* Fare attenzione quando si naviga sul Web
* Non aprire SMS, MMS o e-mail da sconosciuti

Per chi vuole approfondire consiglio la lettura del pdf scaricabile dal link pubblicato in questo post Problemi di sicurezza in Symbian OS

Chrome 4.0.207.0 difesa cross-site scripting

Google ha recentemente rilasciato la nuova versione del browser Chrome 4.0.207.0. La nuova release utilizza un filtro XSS che permette di controllare ogni script prima che esso venga eseguito, verificando se lo script viene visualizzato nella richiesta che ha generato la pagina. Se la verifica non è andata a buon fine lo script viene bloccato. Secondo Chromium Developer Adam Barth, gli sviluppatori prevedono di pubblicare in un secondo momento un documento accademico che descrivono il nuovo filtro in modo più dettagliato.Maggiori dettagli sulla release sono disponibili in un post sul blog di Google Chrome stampa. Chrome 4.0.207.0 è disponibile per il download per Mac e Linux (32-bit e 64-bit). Poiché si tratta di una versione del ramo Dev, l'uso in ambienti di produzione e su macchine mission-critical non è consigliato.

http://dev.chromium.org/getting-involved/dev-channel
http://code.google.com/p/chromium/issues/entry

Windows Remote SMB 2.0 Denial of Service Exploit

Recentemente è stata scoperta una vulnerabilità che colpisce i sistemi Windows Vista e Windows 7. La vulnerabilità è presente nell' implementazione del protocollo SMB2 di Microsoft e può essere sfruttata da remoto mandando in crash o semplicemente riavviando il sistema. Tale vulnerabilità è dovuta essenzialmente ad un errore presente nel file srv2.sys che gestisce sostanzialmente le richieste dei client quando nel campo dell'intestazione del "Processo di High Id" è presente una e commerciale (&). L'attacco non richiede l'autenticazione e sfrutta la porta 445 del sistema targer. L'exploit permette di effetture un reboot del sistema windows vista. Provando l'exploit è stato possibile riavviare da remoto windows Vista. Secondo Laurent Gaffie, che ha scoperto la vulnerabilità, Windows Server 2008 potrebbe anche essere a rischio, in quanto tutti i sistemi usano lo stesso driver SMB2.0. Per quando riguarda Windows 2000 e XP, essi non sono vulnerabili semplicemente perchè non supportano SMB2. Attualmente consiglio di chiudere le porte SMB nelle impostazioni del firewall.

Exploit :

http://trac.metasploit.com/browser/framework3/trunk/modules/exploits/windows/smb/smb2_negotiate_func_index.rb

Skype 2.1 problema audio risolto

Con l'ultima versione beta di Skype 2.1, ho riscontrato dei problemi con l'uso del microfono. Per risovere il problema bisogna aggiornare la versione di pulseaudio alla 0.9.15. Per prima cosa, andiamo su Sistema > Amministrazione > Sorgenti software, seconda scheda, cliccare su "Aggiungi":

deb http://ppa.launchpad.net/themuso/ppa/ubuntu jaunty main
deb-src http://ppa.launchpad.net/themuso/ppa/ubuntu jaunty main


Importare la chiave PPA:

sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys B88A1AA8


per installare l'ultima PulseAudio (0.9.15):

sudo apt-get update && sudo apt-get dist-upgrade

Una volta terminare l'installazione non ci resta che riavviare la nostra ubuntu e riprovare con skype test call .

Alsa driver 1.0.21 ubuntu 9.04

Se quando provate a registrate con il microfono riscontrate dei problemi allora è necessario aggiornare i driver alsa all'ultima versione che in questo caso è la 1.0.21. Ubuntu jaunty 9,04 di default ha la versione di Alsa 1.0.18rc3.

Prima di tutto, dobbiamo verificare la nostra versione di ALSA:

cat /proc/asound/version

Advanced Linux Sound Architecture Driver Version 1.0.18rc3.

A questo punto,dobbiamo installare gli strumenti di sistema necessari:

sudo apt-get -y install build-essential ncurses-dev gettext xmlto
sudo apt-get -y install linux-headers-`uname -r`

Creiamo una nuova cartella per la compilazione e l'installazione dei 3 file:

sudo mkdir -p /home/alsa-driver
cd /home/alsa-driver

wget ftp://ftp.alsa-project.org/pub/driver/alsa-driver-1.0.21.tar.bz2
wget ftp://ftp.alsa-project.org/pub/lib/alsa-lib-1.0.21.tar.bz2
wget ftp://ftp.alsa-project.org/pub/utils/alsa-utils-1.0.21.tar.bz2

Scompattiamo i file:


sudo tar xjf alsa-driver*
sudo tar xjf alsa-lib*
sudo tar xjf alsa-utils*


1)Ora non ci resta che compilare e installare i driver:

cd alsa-driver*

sudo ./configure --with-cards=hda-intel --with-kernel=/usr/src/linux-headers-$(uname -r)

sudo make

sudo make install

2)Compiliamo e installiamo alsa-lib:

cd ../alsa-lib*
sudo ./configure
sudo make
sudo make install

3)Compiliamo e installiamo alsa-utils:


cd ../alsa-utils*
sudo ./configure
sudo make
sudo make install

Se durante la fase di configure vi segnala questo errore "configure: error: panelw library not found" bisogno creare questi link simbolici e poi possiamo tranquillamente riprovare ad installare gli alsa-utils:

sudo ln -s libpanelw.so.5 /usr/lib/libpanelw.so
sudo ln -s libformw.so.5 /usr/lib/libformw.so
sudo ln -s libmenuw.so.5 /usr/lib/libmenuw.so
sudo ln -s libncursesw.so.5 /lib/libncursesw.so

Una volta terminare l'installazione dei tre pacchetti non ci resta che riavviare la nostra ubuntu. Una volta riavviato se tutto è andato a buon fine otteniamo qualcosa di simile:

cat /proc/asound/version

Advanced Linux Sound Architecture Driver Version 1.0.21.
Compiled on Sep 8 2009 for kernel 2.6.28-15-generic (SMP).

Infine dobbiamo lanciare questo comando e seguire la procedura automatica di configurazione:

sudo alsaconf


FINE

Aggiornamento per Lenny, Debian 5.0.3

Gli sviluppatori di Debian hanno rilasciato Il terzo aggiornamento della distribuzione stable di Debian GNU / Linux 5.0 (nome in codice Lenny). Grazie a questo aggiornamento è stato possibile correggere una serie di falle nella sicurezza. Tengo a specificare che questo aggiornamento non costituisce una nuova versione di Debian, ma vengono aggiornati soltanto alcuni dei pacchetti inclusi che sono reperibili su security.debian.org oppure tramite il comando apt-get update.

http://www.debian.org/News/2009/20090905

http://ftp.debian.org/debian/dists/lenny/ChangeLog

Premium Service Engineer (PSE) da Canonical

La società Canonical ha recentemente pubblicato un annuncio dicendo di offrire pieno supporto professionale alla distribuzione Ubuntu Linux. Il servizio di assistenza si rivolge in particolare ai Mission Critical System e alle grandi aziende IT. Il servizio prende il nome di Premium Service Engineer (PSE) con l'obbiettivo di fornire ai clienti un unico punto di contatto per risolvere in modo rapido e veloce eventuali problemi. Il servizio al momento è stato provato solo con pochi clienti selezionati. Antonio José Sáenz de Isotrol manager di primo livello dello sviluppo di progetti tecnologici (CTO) dice: “Having a Premium Service Engineer has been vital to getting the level of support we require to improve our operational infrastructure.” Steve George, Direttore Corporate Services di Canonical dice: “As Canonical believes in providing service consistency, we assign the same technical consultant who assisted you with your initial deployment to also act as your Premium Service Engineer. This ensures that your Premium Service Engineer has an in-depth understanding of your requirements from the start.” Le imprese interessate al nuovo servizio devono fare riferimento alla pagina dei prezzi reperibile sul sito web di Ubuntu. Una copia del documento brochurePDF è disponibile per il download. Tuttavia, Canonical non fornisce alcuna indicazione dei canoni tipici per il servizio.

http://www.ubuntu.com/system/files/PSEServiceSheet20090616.pdf

Script nmap Microsoft IIS FTPd NLST Remote Buffer Overflow

L'exploit(Microsoft IIS FTPd NLST Remote Buffer Overflow) è apparentemente reale: i responsabili della distribuzione Backtrack lo hanno provato creando anche una versione avanzata dello shellcode inserendo del codice che permette di effetture lo shell bind. Inoltre è stato anche creato uno script per Nmap in grado di individuare eventuali sistemi vulnerabili; lo script non fa altro che scansionare i server Microsoft che accettano connessione anonima al server ftpd e al contempo viene verificato anche se il comando mkdir viene eseguito correttamente. Al momento, non è disponibile un exploit per IIS6, ma presto exploit sarà in circolazine sulla rete. Per il momento, consiglio agli amministratori di disabilitare l'accesso in scrittura nell'FTP per ridurre la probabilità che un utente malintenzionato possa sfruttare la vulnerabilità.

script nmap:
http://blog.rootshell.be/wp-content/uploads/2009/08/IIS-FTP.nse

video della dimostrazione:

http://www.offensive-security.com/blog/vulndev/microsoft-iis-ftp-5-0-remote-system-exploit/

Microsoft IIS FTPd NLST Remote Buffer Overflow

E' stata scoperta una vulnerabilità che permette di ottenere i privilegi di root su un server Microsoft. La vulnerabilità riguarda in particolare il servizio FTP di Microsoft IIS 5 e IIS 6(con Stack Cookie Protectio attivo). Il codice sorgente dell'exploit scritto in perl è stato pubblicato in formato PDF da parte di "Kingcope" senza però conoscere in modo dettagliato i principi di funzionamento esatti. L'exploit praticamente contiene codice shell che effettua una connessione anonima al server FTP sotto attacco. Una volta connesso al server , esso crea due directory tramite il comando MKD. Il cuore dell'attacco, sembra essere innescato dal comando NLST che permette di visualizzare il contenuto di una directory. Per il momento l'unico modo apparentemente affidabile e consentire le connessione FTP agli utenti trust(fidati).

http://archives.neohapsis.com/archives/fulldisclosure/2009-08/att-0444/isowarez.pdf

Disponibile OpenOffice 3.1.1

OpenOffice ha recentemente rilasciato la versione 3.1.1 della suite per ufficio, sotto la versione 3 della GNU Lesser General Public License (LGPLv3). Il download è disponibile sia per Windows che per Linux e Mac OS X. In questa versione sono stati corretti una serie di bug, compreso una potenziale vulnerabilità di sicurezza. Le nuove funzionaltà invece verranno introdotte nella prossima versione 3.2, di cui è prevista l'uscita in novembre.

Il team di OpenOffice raccomanda di non scaricare, almeno per il momento, da siti di terze parti la suite in quando il sito di OpenOffice è temporaneamente non disponibile.

Multi boot OS su Internet

Il servizio web netboot.me offre un boot loader universale che può essere installato su una chiavetta USB, masterizzato su CD o su un disco floppy. Questo permette agli utenti di iniziare una selezione dei sistemi operativi su Internet utilizzando un unico supporto di avvio. Molti sistemi operativi specialmente i sistemi di installazione delle principali distribuzioni di Linux possono essere avviati direttamente via rete. Netboot.me utilizza il boot loader gPXE recuperando il menu attuale dei sistemi operativi e successivamente permette di avviare il sistema selezionato. È inoltre possibile memorizzare configurazioni personalizzate utilizzando gli URL chainload per avviare il boot loader. Un utente quindi deve solo presentare l'URL del kernel e initrd assiene con i relativi parametri richiesti. Inoltre tutti coloro che hanno preparato una configurazione di avvio interessante, sono pregati di informare gli operatori in modo che possano essere incluse nel menu di avvio e di renderla accessibile a tutti. Per il momento, l'unico diffetto è che il servizio non ha ancora raggiunto la piena maturità.

Attacco al protocollo WPA( Wi-Fi Protected Access)

Nel lontano novembre 2008, si è scoperto un metodo "grezzo" che permetteva di effettuare il cracking del protocollo WPA(Wi-Fi Protected Access). Dopo circa un anno i ricercatori giapponesi, Toshihiro Ohigashi e Masakatu Morii, hanno perfezionato la techica di attaco rendendola piu efficace. L'obiettivo dell'attacco è quello di determinare il keystream durante la comunicazione tra l'Access Point (AP) e il client, senza che sia necessario conoscere la chiave originale. Il flusso dei pacchetti che transitano dall'AP al client possono essere decifrati. Se Ad esempio l'aggressore possiede il keystream è possibile crittografare dei pacchetti manipolati, come ad esempio ARP falsificati o pacchetti ICMP, e successivamente trasmetterli ad un cliente. La techica descritta precedenemente è praticamente una variante dell'attacco chopchop sviluppata originariamente da Martin Beck e Erik Tews che non permette di penetrare in una rete wireless, ma comporta la ricostruzione del checksum di un pacchetto intercettato e infine inviato all'AP. Infatti se il calcolo del checksum del pacchetto è corretto viene accettato dall'AP. Il protocollo TKIP(Temporal Key Integrity Protocol) viene generalmente utilizzato con il protocollo WPA, in quanto offre una varietà di misure di sicurezza, tra cui la funzionalità chiamta anti-chopchop. Se ad esempio un client riceve più di due pacchetti con validi Message Integrity Check (MIC) entro i 60 secondi, la connessione wi-fi viene terminata.

Inoltre il TKIP Sequence Counter (TSC) rende anche più macchinoso l'injection dei pacchetti intercettati limitando cosi attacchi di tipo replay. I ricercatori giapponesi hanno sperimentato una techica che permette di includere un attacco di tipo Man-in-the-middle in modo che il client non ha più un collegamento diretto con l'AP. Il PC utilizzato per l'attacco viene quindi usato come un ripetitore.

Durante la fase di attacco, l'attaccante mantiene semplicemente i pacchetti del client prima di inoltrarli alla AP. Questa tecica permette di bypassare i TKIP Sequence Counter (TSC). Ulteriori dettagli possono essere trovati in "A Practical Message Falsification Attack on WPA" reperibile in formato pdf:

http://jwis2009.nsysu.edu.tw/location/paper/A%20Practical%20Message%20Falsification%20Attack%20on%20WPA.pdf

Per il momento, raccomando di utilizzare WPA2 che è supportato nei router Wi-Fi piu moderni.