"Fiscing" come ti frego le password che tu stesso mi dai...

Quest'oggi vi parlo di quelle tecnica subdola chiamata *fishing*, tale tecnica, prevede che l'utente debba abboccare (da qui il termine fishing) a dei siti costruiti ad hoc dove lui stesso provvede ad inserire i dati sensibili come utente, password, conti correnti, numeri di Cdc, pin e quant'altro. Questo è possibile perché il sito è generalmente una fedele replica di quelli legittimi. Esistono molti siti "attaccati" da fenomeni di fishing, e bene specificare che non è esatto definirlo attacco in quanto il sito originale non viene generalmente toccato, se il sito legittimo dovesse essere sostituito da un altro falso, allora si parlerebbe di dns poisoning ecc...ma in questo esempio tratteremo di un sito fake.

Andiamo per ordine...da un paio di giorni mi arriva sul cellulare un normale sms di quelli con numeri mittenti sconosciuti e brevi, nel mio caso dal numero 4216.

Già a vedere il tipo di scrittura, la punteggiatura, puzza di cazzata. Ad ogni modo dal pc vado su www.posteid.date e mi si apre il sito della postepay...ovviamente fake!

Preso dalla noia, procedo ad inserire i dati, da notare che a differenza del sito originale, non presenta la dicitura in rosso...sembra quasi voglia non far sbagliare l'utente nell'inserimento...che bravi!

Preso sempre dalla voglia del sapere, mi armo di un software Acunetix Web Scanner, che permette di scovare le falle nei siti web, porte aperte ed eventuali pagine di autenticazione normalmente non accessibili, file asp non processati ecc...L'occhio mi cade su un file .\users.txt accessibile tramite browser, lo punto tramite Chrome ed ecco cosa ottengo, screen shot della scansione in corso e contenuto del file rilevato...

#2. 91.34.103.28 | 15:23:08 | felice.mastronzo-3434 - amenonmifreghi81 //by 0.0.modulo.php >> 0.0.modulo.verifica.php #3 91.34.103.28 | 7IPS RED. BAN IP ---> echo "91.34.103.28" >> 1/0.9.9.2.3.ipcheck.txt;echo "91.34.103.28" >> 0.0.ipcheck1.txt;

#3 91.34.103.28 | 7IPS RED. WRONG U/P ---> echo "91.34.103.28" >> 1/0.4.3.ipcheck.txt; #3 91.34.103.28 | 7IPS RED. SELFIE ---> echo "91.34.103.28" >> 1/0.9.9.3.9.3.ipcheck.txt; #4 91.34.103.28 | 7IPS RED. WRONG PHONE ---> echo "91.34.103.28" >> 1/0.5.3.ipcheck.txt;

#5 91.34.103.28 | 7IPS RED. LOW S/GRAZIE ---> echo "91.34.103.28" >> 1/0.6.3.ipcheck.txt; #6 91.34.103.28 | 7IPS RED. BANCOPOSTA ---> echo "91.34.103.28" >> 1/0.7.3.ipcheck.txt;

#7 91.34.103.28 | 5IPS RED. POSTE.IT ---> echo "91.34.103.28" >> 0.0.ipcheck1.txt; #8 91.34.103.28 | find . -type f -exec sed -i 's/91.34.103.28/10.10.10.10/g' {} +;

#1. 91.34.103.28 | 15:25:25 | ENTERED ON THE PAGE //runned by index.php --> 1/0.0.ipcheck1.php --> 0.0.Login.html 91.34.103.28 | RED.5 TO POSTE.IT ---> echo "84.11.42.214" >> 1/0.0.ipcheck1.txt;echo "87.13.48.224" >> 1/0.0.ipcheck1.txt; #9 91.34.103.28 | 15:26:13 | 120SEC | Felice Mastronzo | f.mastronzo@libero.it | 3292323888 | 6006343499932323 01/2022 112 //0.0.modulo.verifica.php #10 91.34.103.28 | RICHIESTA FIRST OTP WILL BE THE NEXT STEP 91.34.103.28 | WRONG U/P PAGE --> PASSED OK

91.34.103.28 | NO PHONE PAGE --> PASSED OK 91.34.103.28 | LOW S/GRAZIE PAGE --> PASSED OK 91.34.103.28 | RED. BANCOPOSTA PAGE --> PASSED OK 91.34.103.28 | BAN IP --> PASSED OK 91.34.103.28 | SELFIE PAGE --> PASSED OK

#11 91.34.103.28 | 15:31:33 | WAIT 10SEC. FOR 1.OTP //0.0.richiesta.otp.php 91.34.103.28 | 15:31:33 | RED. 7IPS GRAZIE ---> echo "91.34.103.28" >> 0.1.graziez.ipcheck.txt; 91.34.103.28 | 15:31:33 | RED. 7IPS BANCOPOSTA ---> echo "91.34.103.28" >> 0.1.hbancopostaz.ipcheck.txt; 91.34.103.28 | 15:31:45 | GO FOR 1.OTP RICHIESTA BRO //0.0.z.go.otp.php >> 0.1.conferma.otp.html #12 91.34.103.28 | 15:31:56 | 1.OTP - 333 //0.1.conferma.otp.php ---> 0.1.grazie.php

Come potete benissimo notare, sono presenti in chiaro TUTTI i dati da me inseriti, nome utente, password per accedere al sito delle poste, numero di carta, codice ccv, data di scadenza ecc...già a questo punto potremmo benissimo usare il numero della carta ed il codice, per fare acquisti! Ma il problema non finisce qui! L'utente che cade in questi tranelli generalmente utilizza le medesime password per tutte cose, se per esempio andassimo a cercare di accedere alla email f.mastronzo@libero.it con password "amenonmifreghi", molto probabilmente riusciremmo ad entrare, ed una volta dentro? Potremmo gestire eventuali altri siti alla mail collegati, resettare account, accedere a servizi privati ecc...il tutto senza destare dubbi, non vi sono stati tentativi di brute forcing, l'accesso è stato fatto in maniera classica, del resto si hanno utenti e password da NOI FORNITI!

Ora, questi dati che leggete, sono tutti inventati, ip in primis ecc...ma nel file originale, vi posso assicurare, che i numeri di carta di credito ed il resto dei dati, mi hanno dato la possibilità di accedere a:

•Posta elettronica 

•Facebook 

•Sito della Postepay, e guarda caso sito del BancoPosta, poiché condividono i medesimi account....

Avete anche notato, che ci stanno i numeri di telefono? Ho provato ad inserirlo nel campo di ricerca su facebook, e come per magia, appare il nome dell'utente, potremmo ricattarlo, minacciarlo, potremmo fare di tutto...

Regole fondamentali:

NESSUNO SITO che prevede una autenticazione, chiederà mai di rifornire i propri dati, di confermarli, e sopratutto MAI arriveranno messaggi scritti cosi male, fatevi furbi!   

•Cambiate spesso la password

•Non usate le stesse per tutto 

•Leggete bene, verificate prima e poi FORSE cliccateci  

•Se non siete sicuri di qualcosa, CAMBIATE LA PASSWORD!

PS: Se vi va di provare ad accedere a questa linux box, ha una connessione SSH attiva e pubblicata:

D.

Metti caso domani il sole non dovesse sorgere!

Ogni fine anno, la clientela ha un certo timore, penso che sia un antico retaggio degli antenati che si affidavano agli sciamani per sapere il futuro, per conoscere cosa sarebbe accaduto da li a poco. Fatto sta che a fine anno laggente chiama per pianificare:

• Spegnimenti di server "per le feste"
• Backup straordinari "per le feste"
• Verifica dei funzionamenti di tutti i rubinetti della casa "per lavarsi le mani durante le feste"
• Svuotamento e riciclo dei toner "per le feste"
• Verifica del funzionamento della verifica del funzionamento del funzionamento verificato "per le feste"

Ora, lungi da me dal rovinarvi le feste, ma ai vostri computer/server/stampanti varie, frega poco e niente dell'anno nuovo, delle feste e dei panettoni, hanno probabilmente passato illesi il millennium bug vista l'età che hanno. Il sole e la luce corrente ci saranno anche l'uno gennaio, statene certi.

D.

"Mi hai aggiornato anche le ventole?"

Oggi a quanto pare la gente ha dimenticato che si tratta di un giovedì, giorno generalmente dove non accade nulla, di fatti sono solito tenermi il giovedì libero anche dalla palestra per godere appieno del "tempo libero" dopo la giornata lavorativa...ma evidentemente oggi non deve andare cosi...

La chiamata parte da questa richiesta:

Semplice richiesta di modifica degli orari di backup, orari che per prassi imposto la notte cosi come imposto gli aggiornamenti, eventuali ottimizzazioni, ed eventuali stiracchiamenti dei server, avranno anche loro diritto ad un po di relax dopo essere stati martoriati dagli utonti.

In questo caso, conoscendo l'utente che definiremo "manuzza", sapevo che la richiesta nascondesse delle scellerate motivazioni, cosi telefono e questo è quanto accadde:

Io: Si ciao sono Dario, chiamo per...

Cliente: Si è da stamattina che impazzisco, lo senti?

Io: Sentire cosa?

Cliente: Le ventole fanno un casino, al solito, e siamo al telefono con IBM da mezz'ora!

Io: Ferma, io chiamo per la richiesta dei backup, il cambio di orario...

Cliente: Si, se potevi cambiarlo e metterlo alle 13:00

Io: Scusa ma perché dovrei cambiarlo? Se lo metto alle 13 poi magari vi influisce sul lavoro ecc...

Cliente: Si lo capisco, ma $titolare vuole che spegnere il server la sera...lo sai...

Io: Se cambio il backup devo cambiare una serie di altre cose che SICURAMENTE vi daranno fastidio sul lavoro...

Cliente: silenzio

Io: Che motivo avete per spegnere il server la sera?

Cliente: Lo sai che $titolare vuole spegnerlo...io lo capisco...facciamo cosi, tu lo fai, appena abbiamo problemi, glielo diciamo!

Io: Ok...a che ora metto gli aggiornamenti quindi? Per ora sono messi a l'una di notte...

Cliente: $titolare, Dario mi chiede a che ora mettere gli aggiornamenti del server...(si sente una voce dire, "...di sera")

Io: Si ma se spegnete la sera il server è spento e non fa nessun aggiornamento...

Cliente: (tra loro) Giustamente Dario mi dice che se è spento non può farli, nei pc spunta di farli manualmente ma nel server è in automatico...(e poi rivolgendosi a me) Ok, dice di metterli alle 08:45!

Io: Quindi alle 8:45 scarica gli aggiornamenti, poi li lancia e si riavvia, e voi non lavorate...

Cliente: mmmm, alle 13:15?

Io: ...o 13 o 14 o 15...senza mezzi orari, posso scegliere solo in questo modo

Cliente: (tra loro) Dario dice che può mettere solo orari interi...che facciamo? Ok, Dario mettili alle 14:00

Io: Ok (si sentono confabulare, ed esclamano che a quell'ora capita che lavorino)

Cliente: Va bene...lascialo alle 14, cercheremo di lasciarlo libero di fare gli aggiornamenti ed i backup.

Io: Ok, adesso fammi controllare ste ventole e ti richiamo...

Passano 10 minuti dove smanetto con la IMM del server, riavvio i sensori ecc...le ventole tornano a più miti rpm ed il rumore svanisce, li chiamo al telefono...

Io: Ok, il rumore dovrebbe essersi calmato...

Cliente: Ok, hai fatto l'aggiornamento alle ventole?

Io: Certo, adesso montano un turbo propulsore da 2000 cc con riduzione dei consumi, per questo girano piano adesso.

Ovviamente la risposta non fu quella.

D.

Ren BCTabella.dbo BCTabella.old, perché SQL SERVER è uno stupido accrocchio di file di testo.

Mentre tutto mondo è a casa a godersi un giorno di ponte, in onore del sacro editto chiamato in gergo populis 11° Comandamento, ovvero "Ricordati di pontificare le feste", io mi trovo alla mia postazione di tennico per soddisfare le richieste di Tizio e Caio che se sfortuna non mi prende, non si uniscono con Martino e Filano generando una sequela di richieste al limite del paradosso quantico, tale paradosso presuppone che data la presenza della richiesta da parte di Tizio, per le leggi quantiche anche Martino avrà la medesima richiesta pur lui trovandosi dall'altro lato del mondo.

Ma non è di questo che voglio parlarvi con questo post, trovandoci nella situazione dove un cliente ha chiesto l'esportazione e la re importazione dei dati da un vecchio database sql in uno nuovo, il mio collega/capo, decide di dire la sua su una qualche tipo di fantasmagorica manovra per fare digerire una tabella fatta in un modo, ad un database che quella tabella la vuole in un altra maniera.

DRIIIIN..DRIIIIN....DRIIIIIIIN

Io: Si ciao, dimmi...

Lui: Allora...$cliente

Io: Si

Lui: Esportazione ed importazione ditte bla bla bla bla

Io: Si, abbiamo già risolto la cosa facendo un backup completo ed un restore del database altrove mantenendo la versione e poi facendo gli aggiornamenti a partire da quella...

Lui: Si, ma cosi non mi piace, vorrei capire se, visto l'errore che da, seguimi, è tabella troppo aggiornata, si prega di utilizzare dati compatibili con la procedura bla bla bla ed il database bla bla bla versione fri fri.

Io: Si, direi che ci sta...

Lui: Ma dentro il database sql non ci stanno dei file (!!!) che possiamo rinominare come i vecchi programmi, che tu rinominavi, il programma poi ricreava il file vuoto, poi sovrascrivevi e tutto funzionava?

Io: Direi di no...nei db sql ci sono molt [vengo interrotto]

Lui: Non mi interessa (!!!) se prima funzionava, da 15 anni che funzionava con i file, anche con sql deve funzionare !!! (?!??) 

Io: Ma su quale base puoi dire questa cosa!?

Lui: Perché questi programmi fatti da $produttore, funzionano, sono sicuro che questa cosa deve funzionare, quindi anche se io non sono un tecnico sistemista, ma faccio lavorare il cervello (e già), ti dico questo!

Io: Ok, se ti dicessi che ci stanno tante tabelle, che ci stanno le relazioni tra le tabelle, se i dati che importi venissero scritti male in questa tabella, che mi spiace ripeterlo E' DIVERSA da quella di origine, e c...[interrotto di nuovo]

Lui: Tu non mi ascolti! Se noi rinominiamo il file (la tabella), importiamo, poi rimettiamo la tabella di prima (il sql decoupage), tutto funziona?

Io: N [vengo interrotto]

A questo punto, non so per quale motivo la telefonata prende toni incazzati, nervosi, il mio dire come stanno le cose "NON PIACE", la tecnica vs la prepotenza, lo yin versus lo yang, io non riesco nemmeno più a capire dove si voglia andare a parare. Rifletto sulla cosa e decido di non pronunciarmi e di dichiararmi estraneo al sapere se queste operazioni da lui proposte funzionino o meno, quindi NO COMMENT. 

Lui: Ah quindi si o no?

Io: NO! Se importi una tabella che il programma (in versione diversa da quello che ci si aspetta) non la legge, cosa ottieni? UN BELLISSIMO ERRORE!

Lui: Ma se l'importazione da esito positivo, perché non deve funzionare?!

Io: Non lo so

Lui: Secondo me deve funzionare, ne sono sicuro, per 15 anni ha funzionato!

Io: Non-lo-so

Lui: Questo devi dire!

Io: Sono una capra, hai ragione tu.

Lui: Talè...basta va, lascia perdere, ciao.

Non posso farcela.

PS: Le operazioni dirette sulle tabelle di un db sql sono ovviamente fattibili, conoscendo la struttura del db stesso è possibile alterarle senza comprometterne il funzionamento....CONOSCENDONE LA STRUTTURA! Ma qui già sapere come uno si chiama di nome e cognome è già assai.