In questi giorni mi e' capitato di utilizzare una rete WIFI che fornisce un accesso gratuito ad Internet in un nuovo edificio in Bangkok composto da piu' di un migliaio di monolocali affittati ad uso abitativo.
L'accesso viene garantito da un certo numero di Access Points,
e senza l'utilizzo di
nessun sistema di protezione dei dati (WEP (comunque insicuro) , WPA, ...... ) mentre l
'autenticazione per l'accesso ad Internet viene fatta al momento dell'apertura del browser
con richiesta di login attraverso il numero di appartamento ed una password creata e fornita al momento di affittare.
L'utilizzo della connessione WIFI ad Internet e' gratuito e senza limiti di tempo ma viene limitato nella velocita', specialmente per download od upload di files , a
pochi KB (velocita' normalmente paragonabili a quelle di un modem su linea analogica) mentre navigando in internet il problema e' meno evidente.
L'indirizzo IP del pc quando connessi viene , come succede in questi casi, assegnato in maniera automatica, e nel caso specifico di questa rete varia
da 10.0.0.1 a 10.0.3.254. (garantendo il numero di possibili collegamenti per il totale degli appartamenti)
Vista la tipologia di questa rete WIFI non protetta (disponibile anche per chiunque si trovi nelle vicinanze dello stabile) e,
nota importante, senza loggarsi e' possibile utilizzare uno dei tanti scanner di rete free per visualizzare le connessioni attive sulla stessa.
Per fare questo si piuo' utilizzare uno dei tanti softwares freeware, come ad esempio Angry IP Scanner versione 2.21( con alcuni plugin installati).
Uno volta lanciata la scansione sul range di IP visto sopra ecco cosa appare al termine della stessa (parziale report di alcuni indirizzi IP compresi nal range utilizzato da questa rete WIFI)
In pratica tutti i pc al momento connessi in wifi risultano visibili nel report, che, nel caso dell'uso di Angry IP Scanner (con plugins), restituisce parecchie info al riguardo degli elaboratori connessi.
La cosa interessante che si nota nel report e' la presenza di alcuni computers estremamente insicuri.
Si vede infatti che alcuni pc condividono singoli folder ma anche interi dischi mettendo a disposizione il loro contenuto in molti casi anche con permessi di scrittura abilitati (possibilita' di upload di files e/o download di tutto quello che li contiene).
La cosa sarebbe grave ma ancora di piu' se ne verifica la pericolosita' se si ha la malaugurata idea di connettersi rendendo condivisibile anche una sola cartella del proprio disco dato che dopo qualche minuto puo' presentarsi una situazione simile a questa:
In pratica un utente che presenti malware sul su pc puo', se il virus ha la caratteristica di replicarsi attraverso connessioni di rete, diffondere il suddetto file su tutti i pc collegati al momento e che condividono folders o interi dischi, come si e' verificato in questo caso del shared folder di XP
A parte la presenza di default di shared folder la condivisione del disco viene spesso attutata in ambiente windows a livello di rete casalinga o piccoli uffici semplicemente per rendere disponibile parte o molto spesso l'intero disco non tenendo conto dei problemi di sicurezza collegati se connessi ad una rete WIFI di questo tipo.
Tanto per fare un esempio, l'ufficio che amministra lo stabile ha diversi pc connessi che usano per praticita' lo stesso sistema WIFI visto ora e chiunque disponga di WIFI sul proprio computer puo tranquillamente entrare nei pc visualizzando (ma anche in alcuni casi modificando) documenti, testi, fogli di calcolo ecc.....
Da questo esempio risulta ben evidente come l'utilizzo di Hotspot WIFI ormai molto diffusi, o comunque di connessioni WIFI in genere, debba sempre essere preceduto da una verifica delle impostazioni del nostro computer onde evitare problemi di sicurezza utilizzando questo genere di connessioni. (condivisione di folders, accesso WPA ecc....)
Alcuni consigli pratici (in italiano) su come configurare un pc che si voglia utilizzare per connettersi ad un hotspot
li potete trovare quiEdgar
Si tratta di tentativi di phishing che sfruttano server locati in Asia. (entrambi nella regione indiana)
Il sito a cui punta il links al momento e' hostato su server coreano
ma, come si vede da una ricerca in rete
si tratta in realta' di siti con indirizzi che variano in maniera molto rapida visto anche il contenuto degli stessi.
Una descrizione dettagliata (in inglese) riferita ai siti “Euro Software” la potete trovare qui
presentano, al momento di scrivere il post, inserito al loro interno accendendo a www.nomesito.it/a.htm un codice html che visualizza questa semplice scritta
Questo un report dei siti colpiti eseguito con Webscanner
Edgar
Come si vede viene simulato una sorta di motore di ricerca multiplo cliccabile direttamente sull'immagine
Una analisi fatta con VT dimostra il quasi nullo riconoscimento della falsa 'applicazione da parte degli AV presenti sul report.
Interessante notare che per l'ennesima volta viene utilizzata una URL che modificata porta a caricare nomi diversi dello stesso falso setup exe e che presenta anche differenti layout del falso scanner AV
Edgar
con richiesta di login attraverso il numero di appartamento ed una password creata e fornita al momento di affittare.
L'indirizzo IP del pc quando connessi viene , come succede in questi casi, assegnato in maniera automatica, e nel caso specifico di questa rete varia da 10.0.0.1 a 10.0.3.254. (garantendo il numero di possibili collegamenti per il totale degli appartamenti)
In pratica tutti i pc al momento connessi in wifi risultano visibili nel report, che, nel caso dell'uso di Angry IP Scanner (con plugins), restituisce parecchie info al riguardo degli elaboratori connessi.
In pratica un utente che presenti malware sul su pc puo', se il virus ha la caratteristica di replicarsi attraverso connessioni di rete, diffondere il suddetto file su tutti i pc collegati al momento e che condividono folders o interi dischi, come si e' verificato in questo caso del shared folder di XP
E' presente inoltre in allegato un file zip che, nel messaggio, viene spiegato contenere la documentazione relativa.
Edgar
presentano l'inclusione di un codice che visualizza, quando richiamato dal browser,
(la homepage dei siti colpiti risulta pertanto online e funzionante) .
mentre queste alcune videate di attacchi odierni sempre a siti .IT
ed anche
Edgar
e questo un report dei siti colpiti eseguito con Webscanner
Piu' interessanti questi due casi dove in entrambi e' stata utilizzata la tecnica di reindirizzare direttamente su pagine predisposte con il 'messaggio' da visualizzare.
Questa la pagina visualizzata
normalmente presente su questo sevizio free di hosting come si vede da una ricerca tra le pagine presenti
si passa per aggiunta del codice relativo
Come sempre tutto questo, a parte i problemi arrecati ai siti colpiti denota una continua presenza di vulnerabilita' sfruttabili per azioni piu' pericolose quali phishing, spam distribuzione links a malware o direttamente files pericolosi.
inoltre il report generato ora puo' essere ottenuto in diversi formati tra cui file pdf , testo, html, ecc...
Questi i risultati forniti da Anubis nel caso visto ora
che dimostrano una buona attivita del file malware nel connettersi a siti da cui scaricare ulteriori files pericolosi di cui vediamo un esempio
con whois
Sembra quindi che questa volta , come non succede di solito, il pretesto di proporre un Antispyware sia direttamente connesso al tentativo di infettare il computer di chi malauguratamente cadesse nel tranello del falso programma antivirus.