Newsgroup: it.comp.sicurezza.varie
Titolo: Tanto per cambiare attenti ANCHE alle immagini che arrivano...

https://conference.hitb.org/hitbsecconf2015ams/sessions/stegosploit-hacking-with-pictures/
 
 
Interessante il materiale della presentazione (.pdf)...
Presumo che l'addendum maligno possa girare su tutti i sistemi...
 
Ma è mai possibile che si possano mettere "eseguibili" ovunque?
Che una semplice immagine sia e resti una semplice immagine?


wrote:

E' che GIF, JPEG e PNG non sono "semplici" immagini.
 
Comunque, potresti per es. usare Squid con un content filter e ordinare al
medesimo di ricodificare tutte le immagini. Anche in maniera tossica:
 
PNG:
	usare advpng 'extreme' eliminando tutti i chunk non-immagine e
	ricompattando pLTE etc.
 
JPG:
	convertire in PNG, passare a advpng, ricomprimere in JPG q=75
 
GIF:
	convertire in [A]PNG, riconvertire in GIF. I GIF89 singleframe
	li passi in GIF87a ("Oi. Sputaci su").
 
Inoltre puoi validare i MIME type con l'estensione (se arriva un .jpg, gli
forzi 'Content-Type: image/jpeg' a dispetto dei santi).
 
E un primo stadio di "identify" puo' eliminare tutte le immagini aventi un
parametro dimensione farlocco, per es. 1x1 o maggiore di 4096x4096.
 
Leonardo
 
P.S. Tutti questi "controlli" li potrebbe fare piu' efficacemente anche il
     browser... Firefox extension, anyone?
 
-- 
A stultis ex omnibus gentium varie pictis
A sanctae fidei adeptis, ab eorum odore;
AB insanis Iacobinis, ab eorum ardore
AB idolatris et martyribus odii et terroris;
A paradisi fautoribus dicentibus "est pro amore",
A manichaeis ululantibus "Nisi nobiscum prodes";
LIBERA, libera, libera, libera nos, Domine.

 anche il browser... Firefox extension, anyone?
 
si ma poi c'è il tizio di turno che fa partire IE o altro ed addio
filtering extension; no, no, meglio usare un proxy; decinaia o forse
centine di anni addietro suggerii ad una certa azienda di metter su
direttamente DENTRO "IE" del codice tipo quello di "privoxy" ma ho idea
che non abbiano capito, considerando come è evoluta la faccenda.
 
(evoluta in questo contesto è una parola grossa, lo ammetto :P)
 
 

 Presumo che l'addendum maligno possa girare su tutti i sistemi...
 
Chi fornisce powerpoint colorati e usa termini in bimbominkiese come PWM
anziché fornire dei proof of concept resta abbastanza ai margini della mia
soglia di attenzione, quindi probabilmente non ho letto bene.
 
Apparentemente il cosiddetto exploit consisterebbe nel fatto rivoluzionario
che puoi inserire dati occulti dentro a un'immagine (arguto! mai nessuno ci
aveva pensato, almeno non prima del 500 a.c.!) e se dall'altra parte hai un
decoder che lo sa, puoi anche estrarli ed eseguirli.
 
-- 
Fletto i muscoli e sono nel vuoto.

decoder che lo sa, puoi anche estrarli ed eseguirli.
 
Non è proprio solo così. La "scoperta" sta nel fatto che è possibile costruire
un oggetto che è considerato valido HTML dal parser HTML, valido JS dal parser
Javascript, e una immagine valida dal parser delle immagini.
 
A questo punto, se l'oggetto è caricato prima come immagine e con un TTL molto
alto (almeno cinque secondi <g>), si può richiederne di nuovo lo scaricamento,
ma in un diverso "ruolo". E come per magilla i browser lo prendono dalla cache
della propria memoria, dove è sottratto al controllo degli AV, e meno soggetto
a controlli interni anche da parte del browser.
 
Leonardo


 decoder che lo sa, puoi anche estrarli ed eseguirli.
 
Su questa parte, non concordo, invece.
Il gioco non consiste di formare una immagine stego, e nemmeno una immagine con accodato un file (con 7zip ci si riesce benissimo).
 
Il gioco consiste di farti vedere una immagine, e nel contempo mandare in esecuzione un programma inserito dentro !
 

 a controlli interni anche da parte del browser.
 
Una volta che il viandante e' passato, la guardia al cancello, non lo richiama piu', a meno che qualcuno lo richieda specificatamente!

Rispondo qui sotto a Big (Umberto)

Io ormai apro solo i mail di mittenti a me noti, e quasi sempre 
comunque prima di aprirli ne controllo il sorgente.
Quindi non apro praticamente mai allegati non attesi o immagini.
 
 

 a controlli interni anche da parte del browser.
 
Ah, quindi mi vuoi dire che sia i browser che gli antivirus effettuano
tutti i loro controlli soltanto al termine del download, e non anche prima
dell'esecuzione? Questo è il pezzo che mi mancava e che mi fa perdere
fiducia nell'umanità.


dell'esecuzione?
 
Eh. Se ci pensi, e' il modo semplice. E' un po' come dire che verificano i
documenti alla dogana.
 
Se invece dovessero tenere traccia di ogni singolo immigrato - mettendogli
alle spalle un tracker che entrasse in funzione solo quando lo diro'^W^Wsi
stesse per compiere una qualche azione... complicazione infinita e perdita
di performance terrificante.
 
Antivirus & C. lavorano sfruttando determinati "hook" messi a disposizione
dal sistema operativo, e/o dai vari programmi, e si intromettono in alcuni
specifici "choke point". Di piu' non fanno, e crediamme', non vuoi neppure
che pròvino a farlo. Immaginati Clippy strafatto di crack con una pinza ed
una saldatrice in mano, e una motosega nell'altra. Meglio i virus.
 
Piuttosto, rimane vero che il browser dovrebbe essere molto piu' occhiuto,
e sottoporre quel che arriva a dei test di accettazione stringenti. No che
uno scarica uno sfondo PNG in formato GIF e gli butta bene, o magari anche
un oggetto con mime type "x-soccmel/inpoonta", che pero' siccome ha valida
la testata MSOffice, allora ti si apre Excel se sei su Windows [1].
 
Leonardo
 
[1] come fa un certo programma che parecchi qualificano "browser"


 Quindi non apro praticamente mai allegati non attesi o immagini.
 
Si, certo, pero'...
C'hai presente gmail?
Se apri "posta in arrivo", DEVI per forza aprire il messaggio, e solo con il messaggio aperto (ed il tuo picci' drogato) hai la casellina "guarda il sorgente"!!!!
Poi, outlook-express del vecchio xp (che Bill Gates l'habbia in gloria) cliccando col destro del mouse, compare il menu proprieta' e ti consente di vedere il sorgente del messaggio.
Ma outlook NO! E sono tanti che lo usano...
Non conosco le nuove invenzioni M$, ma mi sa tanto che l'opzione "sorgente del messaggio" e' troppo complicata per l'utonto e l'hanno tolta...

 "sorgente del messaggio" e' troppo complicata per l'utonto e l'hanno tolta...
 
'Sti pazzi...
 
 

Se apri "posta in arrivo", DEVI per forza aprire il messaggio, e solo con il messaggio aperto (ed il tuo picci' drogato) hai la casellina "guarda il sorgente"!!!!
 
Io inoltro in automatico tutti i messaggi di gmail su un altro account
tiscali, poi apro questo con Mailwasher, e mi vedo il sorgente senza
scaricarlo.
cicero®
--

 messaggio. Ma outlook NO! E sono tanti che lo usano... Non conosco le
 
OutLook non è un client di posta, lo era in modo molto limitato anni
fa, ma ad oggi è diventato una cosa del tutto differente :P - detto
questo, non capisco per quale motivo tu ti voglia far del male usando
outlook quando esistono tantissimi altri programmi anche gratuiti; non
ti suggerisco alcun tipo di "workaround" dato che si tratterebbe sempre
di "cerotti" e, sinceramente, a meno che tu non sia obbligato ad usare
OL, non vedo perchè cercare una soluzione arzigogolata quando potresti
semplicemente usare un altro client
 
 

 fa, ma ad oggi è diventato una cosa del tutto differente :P - detto
 
Era solo un esempio. Non l'ho mai usato outlook.
Nell'azienda dove lavor(o-avo) e sue consociate, era tassativo l'uso di outlook.
Il fatto che io usassi thunderbird era guardato molto male ed ho ricevuto piu' volte richiami.
Ad un ex collega, addirittura, so che e' stata imposta la cancellazione di thunderbird da "colui che gestiva i picci'".
Attualmente so che usano l'outlook (o quello che e') di office su seven, ma anche questo per imposizione.
Mi astengo da fare commenti.
 

 scaricarlo.
 
Basta anche solo usare pop o imap per accedere con un client che permette di vedere il sorgente prima di aprire il messaggio, senza usare l'accesso web, se si vuole, senza bisogno di inoltrare...
 
Approposito dove trovi la voce di inoltro, nella nuava interfaccia?

 Approposito dove trovi la voce di inoltro, nella nuava interfaccia?
Sorry.., mi parlavano in 2 e pensavo ad altro...
Nel suo solito posto, nelle impostazioni..

 usare l'accesso web, se si vuole, senza bisogno di inoltrare...
 
imapfilter (ma penso esistano simili per non *nix) può restare collegato
al server, agire ciclicamente, o essere lanciato manualmente, facendo
ordine e pulizie in automatico.
 
se il provider supporta il comando "idle" (ok 
register.it
, non tiscali ad
es.) si può lasciare attivo come servizio, in ciclo infinito. in realtà si
può fare un loop anche senza utilizzare la funzione idle, l'accrocchio
funziona, ma penso che alla lunga chi fornisce il servizio potrebbe
stranirsi (anche inserendo delle pause).
 
utilizza LUA, abbastanza intuitivo; utilizzabile anche con aggeggi stile
rpi (o nas, ma non ci ho mai provato).
 
-- 
  np: no song

 visualizzazione rispondere che il file non è valido.
 
 
Il visualizzatore, che può anche essere un browser con plugin fallati, esegue 
del codice che sfrutta una qualche vulnerabilità. Infettato.
 
NB: sta cosa dei virus nelle immagini la faceva un mio conoscente già prima 
dell'anno 2000, non è una novità.
 
Gabriele
 

faccio a risultarne avvelenato?
 
La cappa non funziona bene, esplode e ti schizza tutto ;-)
 
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 browser, come farebbe a installarsi senza accesso superuser?
...snip...
 
 
Anch'io cerco di capire.
Per esempio leggo sul sito developer di Chrome:
 
Code running in an NPAPI plugin has the full permissions of the current user
and is not sandboxed or shielded from malicious input by Google Chrome in any
way.
...
https://developer.chrome.com/extensions/npapi
 
 
Il che, se ben capisco, vorrebbe dire che se l'utente è loggato come 
amministratore, anche quel plugin può avere privilegi amministrativi.
Ho capito bene?
 
 
Di tipo NPAPI sono anche i plugin per vedere i video Silverlight nel browser.
Chrome ha deciso di non supportare più NPAPI per ragioni di stabilità e 
sicurezza, spiegano,  suggerendo di usare plugin alternativi più affidabili.
Il supporto sarà rimosso definitivamente dal prossimo settembre,
ma già ora è bloccato di default.
 
 
 

 è vero, ma nella pratica non riesco a capire come funziona.
 
semplificando, diciamo che la struttura del formato di una certa
immagine (che so, JPG, PNG o quello che è) preveda che l'intestazione
abbia un dato con lunghezza variabile e con una lunghezza massima di
"x" bytes, a questo punto, diciamo che io crei un'immagine il cui dato
variabile abbia una lunghezza superiore ad "x" e che una tale libreria
comunemente usata per decodificare/visualizzare quel tipo di immagini
non controlli la lunghezza massima permettendo al dato in questione di
sovrascrivere parte del codice...
 

browser, come farebbe a installarsi senza accesso superuser?
 
Per quello servirebbe una "privilege escalation"; se ne puo' parlare :-)
 
Leonardo
-- 
 
Some say the world will end in fire; / some say in ice.
From what I’ve tasted of desire, / I hold with those who favor fire.
But if it had to perish twice, / I think I know enough of hate
To say that for destruction ice / Is also great, / And would suffice.


 
Potrebbe anche "uscire" da una virtual machine?
 

 sperare che lo apra.
 
La gente apre di tutto.
 
 
Gabriele
 

Il 13/07/15 10.38, Gabriele - onenet ha scritto:
 >>
 >> Grazie per la spiegazione. Ho letto che l'utente veniva infettato, tra
 >> gli
 >> altri modi, da pagine iuporn. In quel caso come facevano, avevano
 >> un'altra
 >> exploit per hackerare il server web di youporn e cambiarne il contenuto,
 >
 > No. Peggio. Intercettavano il traffico per la vittime specifica e
 
 
Presso il provider dell'utente? Presso il MiX?
Secondo te usavano tipo un proxy trasparente che modificava il contenuto 
a livello applicativo (5) ? Oppure l'intercettazione e iniezione di dati 
farlocchi avveniva a livello 3 o 4?
Se la "vittima" avesse fatto un netstat avrebbe visto la connessione con 
l'IP di youporn o quello del server farlocco?
 
 > cambiavano al volo il contenuto del video aggiungendovi dei pezzetti che
 > facevano il lavoro sporco.
 
Questo mi fa pensare che la modifica avvenisse a livello 3 o 4 solo nei 
dati di ritorno verso la vittima e quindi un eventuale netstat non 
avrebbe mostrato anomalie: la connessione tcp  era con youporn, poi nei 
pacchetti di ritorno il contenuto veniva sostituito. Certo, un bel 
lavoro, considerando che sia youporn che la vittima (client) dovevano 
ricevere pacchetti relativi a una sessione tcp corretta e coerente.
 
Ma poi, a quel punto, che bisogno c'era di farlo con youporn? E se 
l'utente non ci fosse andato su youporn? Se hanno il controllo della 
connessione dell'utente con possibilità in realtime di modificare il 
traffico, avrebbero potuto mettere il trojan quando l'utente apriva 
repubblica, corriere, google o facebook, sicuramente piu' visitati di 
youporn.
L'utente apre google, sopra gli ci metti un banner pubblicitario in 
flash, l'utente non ci fa caso, e il banner in flash contiene il buffer 
overflow che installa il trojan.
Perche' proprio youporn?
 
 >
 >
 >> oppure, con la complicità del provider internet dell'utente da 
infettare,
 >> facevano dns hijacking e indirizzavano l'utente su uno youporn
 >> farlocco tipo
 >> phishing? Del tipo: il provider X sa che se la richiesta dns per
 >> 
youporn.com
 
 >> gli arriva dall'utente Prov**zano, sa che deve inviarlo sull'IP tal
 >> dei tali,
 >> col server falso di hacking team?
 >
 > Nel caso di youporn no, ma questa cosa è stata invece fatta (secondo me
 > con dubbia legalità), su richiesta dei ROS (Carabinieri) con la
 > complicità di Aruba che si è appropriata di uno spazio IP "vacante" di
 > un famigerato hosting estero bulletproof tramite BGP hijacking. No 
comment.
 
Ma quindi funzionava solo per i clienti con connessione aruba? Oppure 
aruba ha fornito il supporto tecnico e poi il provider dell'utente da 
intercettare provvedeva a fare BGP hijacking?
 
In entrambi i casi pero' utilizzando una VPN che esce su internet 
dall'estero si dovrebbe impedire le tecniche di cui sopra, o sbaglio?
 
 
 

 Perche' proprio youporn?
 
La pagina di ricerca Google non usa Flash. 
Se un giorno notassi un banner in flash, non dico che mi insospettirei,
ma quantomeno darei un'occhiata più approfondita prima di abilitare
Flash anche per quel sito.
Anzi neanche lo abiliterei, perché del banner posso fare a meno.
 
 
 
Su un sito di video pornazzi invece credo sia più plausibile l'uso di flash.
 

 lavoro sporco.
 
Interessante.
 
In casi come quello che hai detto tu, un trucco del genere può 
infettare il pc se uno fa il boot da disco esterno usb con una live di 
linux o proprio da un dvd live e naviga in un sito infettante?
 
 

Potrebbe anche "uscire" da una virtual machine?
 
Se la VM e' difettosa, si'.


 provvedeva a fare BGP hijacking?
 
Su questo argomento aprirò un thread a parte nel NG sul diritto, perché vorrei 
che qualche avvocato mi spiegasse se fosse legale.
Detto ciò, Aruba ha annunciato che una certa rete era sua (BGP hijacking) ed 
altri ISP hanno in pratica diffuso l'informazione. Pensa che il ROS all'inizio 
si era pure lamentato che la cosa non aveva funzionato bene...
Poi quando il ROS ha messo su altri server (a quello serviva sto casino, avendo 
perso il contatto coi server originali), hanno istruito i client a collegarsi 
ad altri IP e quindi Aruba ha cessato di annunciare quella rete. Almeno così ho 
capito.
 
Quello che mi fa un po' inorridire è che una rete che fino al giorno prima era 
notoriamente una fogna venga annunciata da Aruba e gli altri seguono come 
pecore. Vabbeh che la cosa si presta a facili ironie :D
 
Però dico, i ROS non possono piuttosto crearsi da soli un ISP farlocco sotto 
copertura, invece di dipendere da gentaglia che dall'oggi al domani sparisce? 
Le cose fatte bene si fanno da soli.
 
Gabriele
 

 provvedeva a fare BGP hijacking?
 
 
Aggiungo ora perché non l'avevo visto, ma anche Marco d'Itri aveva studiato il 
caso: 
http://blog.bofh.it/id_456
 
 
kudos :)
 
Consiglio di seguire da lì i link alle email su wikileaks; sarebbe interessante 
sapere il significato esatto di "Aruba ha fornito la sua disponibiltà alla 
pubblicazione di un vps con l'ip 46.166.163.175" in senso legale oltre che 
etico. Alla faccia della disponibilità.
 
 
Gabriele