Bug in Adobe Flash attiva webcam quando si visita sito Web, risolto

Adobe Systems ha lavorato ad un fix per risolvere una vulnerabilità di Flash che poteva essere utilizzata dai siti Web per trasformare surrettiziamente il microfono di un visitatore o webcam. Il problema era nella Gestione delle impostazioni di Flash Player sui server di Adobe, e non nel software sui computer dei clienti, ha detto il portavoce di Adobe Wiebke Lips a CNET. "Gli ingegneri stanno attualmente lavorando su una correzione", avveva detto in una e-mail. 

"Si noti che questo problema non coinvolge/richiede un aggiornamento del prodotto e/o azione del cliente (in altre parole, non c'è un bollettino sulla sicurezza). E' una soluzione che stiamo realizzando, e sta per essere spinta dal vivo non appena la QA [garanzia della qualità] ha completato il test. La vulnerabilità può essere fissata entro la fine della settimana", aveva detto. Il problema è stato portato alla luce da Feross Aboukhadijeh, uno studente di scienza del computer alla Stanford University, che in un post sul blog include una dimostrazione dal vivo. 

L'attacco utilizzava una tecnica che è diventata popolare su siti come Facebook e Twitter chiamata "clickjacking". Il clickjacking consiste nel nascondere del codice al fine di ingannare le persone, in modo che quando fanno clic su un'area della pagina pensano che stiano facendo qualcosa di innocuo - come il "Like" su un post su Facebook, per esempio - quando i click effettivamente risultano su qualcosa di diverso.

In questo caso, qualcuno poteva fare clic su una serie di pulsanti, apparentemente come parte di un gioco o come aggiornamento, e invece davano acceso alla videocamera o al microfono senza saperlo. Per l'attacco, Aboukhadijeh ha nascosto un file SWF nel Flash Settings Manager dietro un iFrame nella pagina, che lascia bypassare il codice framebusting JavaScript, ha detto. "Ho visto un sacco di attacchi clickjacking in natura, ma non ho mai visto alcun attacco in cui l'attaccante iframe utilizza un file SWF con clickjacking su un dominio remoto -. Figuriamoci un file SWF così importante come quello che controlla l0accesso alla tua webcam e microfono!", ha scritto.

"Anche se tutti i browser e sistemi operativi sono teoricamente suscettibili a questo attacco, il processo per attivare la webcam richiede più scatti altamente mirati, che è difficile per un utente malintenzionato tirar fuori", osserva. "Non so quanto sarebbe in realtà utile questa tecnica in natura, ma spero che Adobe corregga subito quindi non ci sarebbe bisogno di scoprirlo". Un problema simile sorse nel 2008, ma tale questione richiese l'aggiornamento Adobe del suo software Flash Player sui computer dei clienti per fissare, ha detto Lips. 

Aboukhadijeh ha detto di aver segnalato il problema ad Adobe un paio di settimane fa. Ma la sua e-mail è stata inviata a un dipendente che è stato un anno sabbatico e non al team di Adobe Product Security Incident Response, per cui Adobe non sapeva del problema fino all'uscita del suo post sul blog, secondo Lips. "Adobe porterà avanti questo fix rapidamente", ha detto Jeremiah Grossman, CTO di WhiteHat Security, che ha messo in guardia sui pericoli di clickjacking per diversi anni. 

"Ognuno dovrebbe assicurarsi di avere il post-it per difendersi su obiettivi completamente aperti", ha scritto in una e-mail, riferendosi alla tecnica di coprire l'obiettivo della telecamera Web con un pezzo di carta. Ed Adobe dichiara di aver risolto (tempestivamente) il problema con una modifica al Flash Player Settings Manager dei file SWF, che risiedono sul sito Web di Adobe. Gli utenti non dovranno scaricare alcun aggiornamento per il loro Flash Player. Lo studio di Aboukhadijeh è disponibile in formato PDF al seguente indirizzo http://seclab.stanford.edu/websec/framebusting/framebust.pdf.

Falsa richiesta d'amicizia Facebook, ora anche con iframe nascosto

Una leggera variazione della campagna spam della falsa notifica richiesta d'amicizia Facebook via e-mail è stata avvistata e prende di mira gli utenti del social network, questa volta senza allegati. Come la maggior parte delle e-email della campagna precedente, questo spam viene inviato dalla botnet Cutwail e si avvale stavolta di un duplice metodo di attacco. Il messaggio sembra convincente, perchè gli spammer hanno copiato il modello reale di Facebook e sostituito i propri collegamenti. L'email imita il messaggio legittimo di Facebook di richiesta di amicizia, ma ci sono alcuni dettagli che potrebbero far capire all'utente destinatario la vera natura del messaggio: l'immagine della persona che vuole essere amica con l'utente non è inclusa, e l'indirizzo email del destinatario è stato omesso dal testo in fondo alla mail.

Al contario di seguito la notifica e-mail richiesta legittima d'amicizia su Facebook

Ma supponiamo che il destinatario viene ingannato, e clicca sul pulsante "Conferma richiesta di amicizia".

Come nella truffa precedente, l'utente vien portato a una finta pagina di Facebook dicendo che la sua versione di Macromedia Flash Player è troppo vecchia per continuare, e offrendo un link per scaricare l'ultima versione del player. Ma non è tutto - la pagina ora include anche un iframe nascosto che carica dati da un server remoto che ospita il kit Blackhole Exploit, spiegano i ricercatori dei laboratori di sicurezza M86, che tenta di sfruttare vulnerabilità automaticamente sul vostro sistema, in particolare Java. Il kit di exploit cerca di sfruttare le vulnerabilità di Java nel sistema del destinatario e se ci si riesce, scarica quello che sembra essere una variante del Trojan bancario Zeus bancario. Un rapporto di Virus Total su Zbot  è disponibile qui.

Grave bug Facebook, Symantec invita gli utenti a cambiar password

Le informazioni personali degli utenti di Facebook potrebbero essere state rivelate accidentalmente a soggetti terzi, in particolare inserzionisti, negli ultimi anni. Lo sostiene la società specializzata in sicurezza informatica Symantec sul proprio blog ufficiale. Altri soggetti avrebbero avuto accessi a informazioni personali come profili, fotografie e chat, e potrebbero aver avuto la capacità di postare messaggi. La società ha segnalato questo problema a Facebook, che ha adottato le misure correttive per contribuire ad eliminare questo problema.

Le applicazioni di Facebook sono le applicazioni Web integrate sulla piattaforma Facebook. Secondo Facebook, 20 milioni di applicazioni vengono installate tutti i giorni. Le applicazioni su Facebook sono di due tipologie: FBML o iFRAME. Proprio una caratteristica dell’iframe avrebbe consentito di recuperare il token univoco dell’utente, un metodo alternativo alla password, esponendo qualunque dato alle applicazioni attive. Si stima che oltre 100.000 di queste hanno usufruito per anni di questo bug per tracciare gli utenti del social network. Si stima che nel corso degli anni, centinaia di migliaia di applicazioni possono avere inavvertitamente trapelato milioni di token di accesso a terzi. Le applicazioni possono utilizzare questi gettoni o le chiavi per eseguire determinate azioni per conto dell'utente o accedere al profilo dell'utente. Ogni token o 'chiave di riserva' è associato a un gruppo selezionato di autorizzazioni, come leggere la vostra bacheca, l'accesso al profilo del vostro amico, il vostro intervento sulle bacheche, ecc.

Durante il processo di installazione dell'applicazione, l'applicazione richiede all'utente di concedere le autorizzazioni per queste azioni. Su concessione di tali autorizzazioni, l'applicazione ottiene un token di accesso, come mostrato nella figura di seguito.

Usando questo token di accesso, l'applicazione può ora accedere alle informazioni dell'utente o eseguire operazioni per conto dell'utente. https://graph.Facebook.com/me/accounts access_toke...?. Per impostazione predefinita, la magior aprte dei token di accesso scadono dopo poco tempo, tuttavia l'applicazione può richiedere token di accesso offline che permettono loro di utilizzare questi token finché non si cambia la password, anche quando non si è loggati. Per impostazione predefinita, Facebook utilizza ora OAUTH2.0 per l'autenticazione. Tuttavia, i sistemi di autenticazione più anziani sono ancora supportati e viene utilizzato da centinaia di migliaia di applicazioni. Quando un utente visita apps.Facebook.com/AppName, Facebook invia prima la domanda di una quantità limitata di informazioni non identificabili sull'utente, come il proprio paese, località e fascia di età. Utilizzando queste informazioni, l'applicazione può personalizzare la pagina. La domanda deve quindi reindirizzare l'utente a una pagina di dialogo di autorizzazione, come si vede nella foto seguente.

L'applicazione utilizza un reindirizzamento sul lato client per reindirizzare l'utente alla familiare finestra di dialogo dell'autorizzazione richiesta. Questa perdita indiretta potrebbe accadere se l'applicazione utilizza un lascito di Facebook API e ha i seguenti cattivi parametri "return_session = 1" e "session_version = 3", come parte del loro codice di reindirizzamento, come si vede nella figura di seguito.

Se questi parametri vengono utilizzati, Facebook restiuisce successivamente il token di accesso, inviando una richiesta HTTP che contiene il token di accesso del URL per l'host dell'applicazione. L'applicazione Facebook è ora in grado potenzialmente di perdere inavvertitamente il token di accesso a terze parti e, purtroppo, molto spesso per caso. In particolare, questo URL, compreso il token di accesso, viene passato agli inserzionisti di terze parti come parte del campo referrer delle richieste HTTP. Ad esempio, se la prima pagina di questa applicazione ha richiesto risorse da un URL esterno utilizzando un tag iframe da un inserzionista, il token di accesso quindi verrà trapelato nel campo referrer. Questo è illustrato nella figura sotto.

Facebook ha confermato le perdite ed ha comunicato la modifica per evitare che questi gettoni di ottenere trapelato. Non vi è alcun buon modo per stimare i token di accesso già trapelati in quanto le domande di rilascio Facebook risalgono già nel 2007. Nishant Doshi e Wueest Candid di Symantec sono accreditati per la scoperta di questo problema. Symantec teme che molti di questi gettoni potrebbero essere ancora disponibili nei file di log dei server di terze parti o ancora attivamente utilizzati dai pubblicitari. Gli utenti di Facebook preoccupati possono cambiare le password Facebook per invalidare token di accesso trapelato. Cambiare la password invalida questi token ed è equivalente a "cambiare il blocco" sul vostro profilo Facebook. Facebook ha risposto, aggiornando la Developer roadmap per l’adozione di strumenti più sicuri.

Un nuovo malware attacca le pagine Web attraverso Internet Explorer

I ricercatori di AVG Virus Lab, il popolare software antivirus, hanno individuato un nuovo attacco che a prima vista potrebbe sembrare venga eseguito attraverso la tecnica dell'Arp Spoofing alle reti LAN. Noto anche come avvelenamento ARP routing o ARP cache poisoning, si tratta d'un metodo per concretizzare un attacco di tipo man in the middle verso tutte le macchine di una stessa rete, aggiornando il computer di destinazione. Proprio per la similitudine con questo tipo di aggressione, di solito, se troviamo un sito web violato, dove un strano blocco di contenuti è stato iniettato nelle sue pagine, il primo  pensiero dovrebbe essere quello che il sito web è stato modificato, o vi è un attacco ARP LAN in esecuzione.

Facebook patcha vulnerabilità XSS che permetteva spam su bacheche

Una vulnerabilità cross-site scripting (XSS) su Facebook è stata utilizzata per lanciare un worm auto-spam che si moltiplicava sul social network attraverso le bacheche degli utenti inconsapevoli, secondo i ricercatori di sicurezza di Symantec. La vulnerabilità XSS si trovava nelle API Facebook mobile ed è stata causata da una insufficiente validazione JavaScript.

L’argomento della validazione dei dati di una form tramite JavaScript è noto alla maggior parte degli sviluppatori di applicazioni Web. L’approccio classico consiste nell’intercettare un determinato evento (Blur, Click, Submit) ed eseguire un’apposita funzione JavaScript che verifichi la validità dei dati inseriti dall’utente. Al fine dello sfruttamento, gli hacker hanno creato una pagina Web che contiene un elemento iframe appositamente predisposto che ha costretto tutti gli utenti Facebook registrati che vi si recano a inserire messaggi canaglia sulla loro bacheca.

Il messaggio di spam lavorava per attirare gli utenti a visitare il sito "maligno", e gli hacker sono riusciti a creare un worm che si propagava autonomamente. Gli esperti di Symantec dicono che la vulnerabilità è stata sfruttata in attacchi sempre più limitati, prima di essere usata per lanciare il worm, ma fà notare anche che i copy-cats (imitatori) hanno seguito l'ondata iniziale. Alcuni browser hanno i filtri anti-XSS built-in per impostazione predefinita, ma non sono molto efficienti. L'unico che può bloccare un numero significativo di attacchi è incluso nell'estensione NoScript per Firefox.

NoScript è un componente aggiuntivo per il browser Firefox che consente di bloccare script sospetti o generati da siti potenzialmente pericolosi. E’ possibile definire una lista di domini sicuri e di domini giudicati non attendibili. Una volta installato tutti gli script javascript, Flash, Silverlight e anche alcuni eseguibili vengono automaticamente bloccati di default. Il worm XSS è stato usato frequente nel 2009, tuttavia, i siti di social media hanno cercato di fare del loro meglio per prevenire tali attacchi.

Nonostante ciò, alcuni continuano ad apparire di volta in volta. In realtà, l'ultimo che è stato lanciato su Facebook si è verificato all'inizio di questo mese ed è stato usato per diffondere spam di prodotti per la perdita peso. La vulnerabilità esisteva nella versione mobile delle API di Facebook a causa di insufficiente filtraggio JavaScript. Esso permetteva a qualsiasi sito web di includere, ad esempio, un elemento iframe maliziosamente preparato che conteneva JavaScript o utilizzava l'attributo http-equiv col valore "refresh" per reindirizzare il browser all'URL preparato contenente il JavaScript.

Qualsiasi utente che si registrava a Facebook e visitava un sito che conteneva un elemento del genere, inviava automaticamente un messaggio di posta arbitrario sulle bacheche, anche con connessione SSL attiva. Non c'era interazione con l'utente e le altre richieste, e non c'erano trucchi coinvolti, come il clickjacking. Bastava visitare un sito infetto e ciò era sufficiente per inviare un messaggio scelto dall'attaccante. Pertanto, non sorprendeva la veloce diffusione di alcuni di questi messaggi attraverso le bacheche di Facebook. Symantec ha individuato almeno 12 diversi attacchi.

Nel mese di ottobre dello scorso anno, dei ricercatori di sicurezza francesi hanno dimostrato come rubare informazioni attraverso worm che lavorava mettendo a frutto la falsificazione delle richieste cross-site e le vulnerabilità cross-site scripting su Facebook. Secondo Candid Wueest di Symantec, Facebook ha affrontato e risolto la vulnerabilità: " Facebook ci ha informati di aver patchato la vulnerabilità XSS. Inoltre, il team di sicurezza sta attualmente lavorando su come porre rimedio ai danni causati dagli attacchi", ha detto.

Il Cross-Site Scripting è uno dei principali problemi di qualsiasi servizio Web-based. Dal momento che i browser Web sostengono l'esecuzione di comandi incorporati nelle pagine Web per consentire pagine Web dinamiche, gli attaccanti possono fare uso di questa caratteristica per far rispettare l'esecuzione di codice dannoso nel browser Web di un utente. JavaScript è il linguaggio comunemente più usato in questo contesto. Se in modo abusivo, il furto di informazioni di autenticazione possono essere possibili permettendo agli hacker di agire nel quadro di un furto identità.

L'attacco si basa sulla possibilità di inserire il codice JavaScript "maligno" in pagine visualizzate ad altri utenti. Pertanto il filtraggio di codice JavaScript "maligno" è necessario per qualsiasi applicazione web. Questo articolo descrive il problema globale ed approfondisce le possibilità di filtrare le applicazioni web in Javascript. E' presentata anche una architettura di filtraggio che consente agli sviluppatori di applicazioni Web di filtrare JavaScript a seconda dell'applicazione, per ridurre il pericolo di successo degli attacchi Cross-Site Scripting.

Phisher utilizzano la prenotazione nuove e-mail dell'account Facebook

Un nuovo attacco di phishing inganna gli utenti di Facebook esponendo le loro credenziali di accesso, incoraggiandoli a sottoscrivere un account email new@facebook.com. Lo scorso novembre il sito di social networking ha annunciato una nuova piattaforma di messaggistica che sfonde e-mail, SMS e chat in un'unica "casella di posta sociale". La nuova funzionalità è gradualmente da poco disponibile e gli utenti hanno la possibilità di utilizzare receive@facebook.com come indirizzo email.

iFrame su pagine di Facebook scatenano le ire degli utenti

Da qualche settimana sono presenti su Facebook delle pagine che all'utente meno esperto potrebbero apparire come offensive e diffamatorie nei propri confronti, scatenando le ire di molti utenti che avrebbero presentato denuncia alla Polizia Postale. Stiamo parlando di quelle pagine che utilizzano l'applicazione FBML di Facebook, che permette di aggiungere funzionalità avanzate alle pagine utilizzando l'applicazione Facebook Static FBML. Questa applicazione aggiunge un riquadro alle pagina in cui l'utente può seguire il rendering di HTML o FBML (Facebook Markup Language) per una personalizzazione avanzata della pagina. E qualche furbacchione ha pensato bene di creare una pagina FBML di atterraggio sulla propria pagina, per incrementare il numero di iscritti. Se infatti ci troviamo a passare da una di queste pagine, ecco cosa leggiamo:

Sei Una put***a
Protezione Account 'VAFFAN****o


Tua mamma e come i mobili dell'ikea:
'Tutti se la mon**no'
F**K YOU.


Guardale la faccia di m***a..
Clica


→ QUI ←

Si tratta di iFrame che permette di rilevare l'ID dell'utente e di conseguenza il proprio nome e cognome. Chiunque si troverà a passare da pagine siffatte, otterrà il medesimo risultato col proprio profilo. Di seguito una parte del codice rilevato sulla pagina

Facebook aveva annunciato che gli amministratori delle pagine avrebbero potuto creare applicazioni Tabs tramite iframe da caricare all'interno delle pagine al posto del più restrittivo FBML. E dopo il lancio delle nuove Pagine Facebook, gli esperti di sicurezza temevano che l'introduzione di iframe per le pagine di Facebook avrebbe aperto le porte agli abusi, rendendo ancora più facile il lavoro degli spammer sul social network. In passato le schede che potevano essere aggiunte a queste pagine sono state create in due modi: il primo ha utilizzato l'FBML Facebook app. Lo statico Facebook Markup Language (FBML) o HTML ha permesso di creare queste schede per le pagine, ma non è stato particolarmente coinvolgente, è stato molto semplice da usare. Adesso però, con le nuove pagine vi è un ulteriore rischio. Il consiglio è semplicemente quello di segnalare queste pagine come spam.

Nuova minaccia per gli utenti di Facebook dall'iframe delle pagine

Giovedì scorso Facebook ha annunciato che gli amministratori delle pagine potranno creare applicazioni Tabs tramite iframe da caricare all'interno delle pagine al posto del più restrittivo FBML (Facebook Markup Language). E dopo il lancio delle nuove Pagine Facebook, gli esperti di sicurezza temono che l'introduzione di iframe per le pagine di Facebook aprirà le porte agli abusi, e renderà ancora più facile il lavoro dei cybercriminali sul social network.

Pericoloso malware si annidava nei banner pubblicitari di Microsoft e Google

Banner pubblicitari a rischio malware per le piattaforme di Google e Microsoft. Come riportato sul security blog di Armorize, nei giorni scorsi un attacco esterno ha provocato l’introduzione nei due circuiti pubblicitari di codice maligno che ha causato il download e l’installazione automatica di malware sui computer delle ignare vittime. I banner pubblicitari sulle pagine Web possono essere, a volte, oltre che fastidiosi anche pericolosi per la sicurezza del proprio Pc. Aprendo delle pagine contenenti determinati banner si è data l'esecuzione a del codice JavaScript malevolo. Ad essere coinvolti sono stati diversi siti, che nelle proprie pagine mostravano banner provenienti da DoubleClick e rad.msn.com.

Nuovo allarme per i browser web: il Clickjacking sui siti web

Una nuova vulnerabilità tormenta i browser Web: il clickjacking. In cosa consiste? Noi clicchiamo su un link "sicuro", ma la nostra azione viene reidiretta su un oggetto diverso e potenzialmente dannoso. Tipicamente la vulnerabilità sfrutta JavaScript o Iframe. La tecnica è stata rilevata per la prima volta nel dicembre 2008 da Robert Hansen e Jeremiah Grossman. Per esempio: l'utente fa click su un link per accedere ad una pagina web e questa azione viene rediretta a sua insaputa su un pulsante per attivare una certa azione. 

In questo modo è possibile costringere l'utente a fare quasi qualunque cosa all'interno di una pagina web. Come si può capire, si tratta di una vulnerabilità potenzialmente molto pericolosa. Questo meccanismo di redirezione può essere implementato in almeno due modi diversi: via Javascript oppure usando un Iframe nascosto. Hansen e Grossman stanno attualmente lavorando con Microsoft, Mozilla e Apple per trovare rapidamente una soluzione al problema; purtroppo, poiché si tratta di una debolezza insita nella progettazione di alcuni standard del World Wide Web, non è ancora chiaro quale tipologia di soluzione verrà adottata. 

I dettagli di questa tecnica non sono ancora del tutto noti perché Adobe (la software house che produce "Flash" e "Reader") ha chiesto che vengano tenuti nascosti ancora un pò per darle il tempo di eliminare una vulnerabilità, collegata a questa, che interessa uno dei suoi prodotti. Tuttavia, è già evidente che non basta disabilitare l'interprete Javascript all'interno del browser per rendersi immuni dall'attacco, dunque si renderebbe necessario disabilitare anche le funzionalità relative a IFRAME. L'iframe, dall'inglese inline frame, è un elemento HTML. 

Si tratta infatti di un frame (un pacchetto di bit che costituisce un'unità strutturata di informazioni) "ancorato" all'interno della pagina, equivale cioè ad un normale frame, ma con la differenza di essere un elemento inline, cioè una "cornice interna" della pagina. L'iframe viene generalmente utilizzato per mostrare il contenuto di una pagina web, o di una qualsivoglia risorsa, all'interno di un riquadro in una seconda pagina principale. Il clickjacking basato sulla tecnica del tag IFRAME, consiste nel nascondere un inner frame all'interno della pagina web e fare in modo che i click effettuati sulla pagina finiscano, in realtà per "colpire" gli elementi di questo inner frame. 

In pratica è come mettere un foglio di carta trasparente sopra alla pagina e fare in modo che l'utente scriva su di esso invece che sulla pagina visibile. Il problema riguarda tutti i browser web, perchè questa vulnerabilità deriva dal modo in cui è strutturato e gestito il tag IFRAME e dal modo in cui è stata progettata una parte degli standard del World Wide Web (HTML, Javascript, etc.). Solo i browser molto, molto vecchi come Internet Explorer fino alla Release 4.0 esclusa, Netscape Navigator fino alla Release 4.0 esclusa, etc. ed i browser "solo testo", come Lynx e Links, ne sono immuni. La loro immunità è dovuta al fatto che non supportano le funzionalità necessarie per sfruttare questa vulnerabilità. 

Dato che si tratta di un "bug" nella progettazione stessa di alcuni standard del World Wide Web non c'è una soluzione semplice e definitiva. Nel frattempo, si possono limitare i rischi disabilitando l'interprete Javascript del browser e disabilitando la gestione del tag IFRAME (ma non tutti i browser permettono tale possibilità). Se utilizzate Mozilla Firefox, potete installare il plug-in NoScript. Dalla pagina delle "preferenze" di questo plug-in, impostate a true l'opzione "forbid IFRAME" ("proibisci IFRAME"). In generale è opportuno non insistere in attività "interattive" su siti sconosciuti. Ad esempio, è meglio evitare i giochi online realizzati con Adobe Flash, che generano una grande quantità di click.