Newsgroup: it.comp.sicurezza.varie
Titolo: Hackerare account hotmail...COME HA FATTO?

Ciao, premetto che non ho assolutamente alcuna intenzione di compiere
atti illeciti, ma sono sette mesi che mi sto arrovellando il cervello
su questa domanda:
come ha fatto I. ad hackerare l'account hotmail di P.?
Fatti:
1. I. è l'ex di P.
2. P. è paranoico con la sicurezza, cambia password di continuo e non
salva mai e poi mai il suo account su alcun pc
3. I. dice di aver hackerato l'account hotmail di P. usando un
programma da UN ALTRO COMPUTER.
La mia domanda dunque è questa: come è possibile hackerare un account
hotmail da un altro computer quando di questo account, a parte la
sessione corrente, non rimane alcuna traccia da nessuna parte?
Grazie e scusate il disturbo :-)
P.S. Tutti i pc hanno piattaforma x86 con Windows XP installato.

come ha fatto I. ad hackerare l'account hotmail di P.?
1. Forza bruta (tutte le possibili combinazioni di N caratteri)
2. Cu... fortuna sfacciata ("vedrai oggi e' xzptlk")
3. P. usa un algoritmo banale per la password ("PW%Y%m%d")
4. Keylogger che chiama casa, installato sul PC di P.
5. I. non ha hackerato niente, ha saputo da altre fonti qualche
   cosa che P. __crede__ che fosse SOLTANTO nella sua email, ma
   era pure da qualche altra parte, e ha detto d'aver hackerato
   l'account di P. per farlo rosicare
6. Altro
Leonardo che a fiuto, per ora, non esclude la 5 -- anzi
-- 
While ordinarily valid that being widespread does not make a statement
true, I feel that the diffusion of anti-evolutionary beliefs does pose
a strong argument for Darwin having been, indeed, sorely mistaken.

 
5,1. P e' l'iniziale di pirla, usa una password in chiaro, e I ha
potuto sniffargliela dal pc del salotto mentre lui si connetteva dalla
cucina.
5,2. P e' come sopra, si connette in wireless non criptato, e I ha
sniffato agevolmente il traffico.
Roberto che comunque non esclude affatto il punto 5, anzi.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Roberto che comunque non esclude affatto il punto 5, anzi.
Anche perchè, se non sbaglio, la password di un utente hotmail è la 
stessa del profilo msn, è piuttosto facile sniffarla...
-- 
"Le opinioni dei fanatici prescindono dai fatti"
python -c "print 'bG9ybWF5bmFAZ21haWwuY29t'.decode('base64')"
Linux Registered User: 461615
http://lmainardi.blogspot.com

 Roberto che comunque non esclude affatto il punto 5, anzi.
6.1 "Gentile utente, abbiamo riscontrato dei tentativi di accesso non
autorizzato al suo account Hotmail/MSN. Per effettuare una verifica
incrociata e poter scoprire eventuali bug nella ns piattaforma, la
preghiamo di inviarci la pw da Lei impostata il giorno X,
all'indirizzo riservato : 
security...@hotmail.com
. La ringraziamo
per la collaborazione che verrà premiata con 5 nuove bellissime skin
gratuite per MSN."
Resta ovviamente valida l'ipotesi n. 5  :)
Gabriele

 - Mostra testo tra virgolette -
Ciao, ho gironzolato qua e la ieri sera, cercando 'hacking hotmail
account' su Google, ed ho trovato cose interessanti che rimandano a
XSS. C'avevo qualche dubbio fosse questo, ma ancora non sono sicuro di
come abbia fatto.
In buona sostanza P. si è comportato da stronzo con I., la quale ha
chiesto ad alcuni suoi amici acher ma non solo su come fare per
leggere le email di quello che era allora il suo fidanzato. Poichè P.
non salvava mai il proprio account sul pc, per leggere le sue email I.
doveva ricorrere a qualche exploit noto. Ho letto che agli inizi dello
scorso anno sono stati chiusi due siti che consentivano di accedere a
qualunque accoutn hotmail; ho letto che manipolando l'url di redirect
è possibile accedere in sola lettura alla casella postale della
vittima. Mi chiedo quale di questi metodi I. abbia utilizzato.
Credo ci sia anche una terza strada, però assai più complessa: la
lettura di memory.dmp
Praticamente, mentre P. è autenticato I. con qualche scusa genera un
crash di sistema (CTRL + qualcosa). Al successivo riavvio salva
memory.dmp da qualche parte e lo analizza con il tool di debug della M
$ o se lo fa fare.
Però, la domanda rimane la stessa: come cavolo ha fatto, escludendo i
punti da 1 a 6 sopra evidenziati?
Bye...

punti da 1 a 6 sopra evidenziati?
Parafrasando Sherlock Holmes, una volta che escludi il plausibile, per
forza di cose quello che ti rimane e' impossibile :-)
Leonardo


 Leonardo
Sei troppo forte :-)
Dov'è che posso saperne di più di queste cose? Ci sono siti di
sicurezza, seri?
Graaaaazie :-)
P.S. I. è molto, molto, ma moooooooolto I.ncazzata...

 leggere le email di quello che era allora il suo fidanzato.
La nuova fidanzata di P. era per caso tedesca ?




Ma poi non capisco: allora P. fa lo stronzo - eh, ci sta; I. s'incazza
- mi pare normale.
Ma che a quel punto P. continui a frequentare I. (e viceversa) ed anzi
le lasci accesso al computer... ringrazi il Signore Iddio, se si trova
solo la mail letta; potrebbe un giorno suonargli il campanello e fuori
c'e' Bubba "Ciao baby, allora e' tuo il culo che ho comprato su eBay?"
Leonardo


 Altri sistemi - rootkit, ma anche un banalerrimo proxy vigliacco messo
<snip>
oppure una versione trial di 
http://www.remotespy.com/
 e via andare :D

 ed anzi le lasci accesso al computer... 
ecco questo mi sorprende già di più.

ecco questo mi sorprende già di più.
http://xkcd.com/215/


 Leonardo
Lei era innamorata e lui la frequentava purtroppo per convenienza.
Lui, poi, pensava che lei fosse un pò come tutte le femmine...non
proprio un genio con il pc. Beh, si sbagliava, I. è molto in gamba :-)

 proprio un genio con il pc. Beh, si sbagliava, I. è molto in gamba :-)
Beh io ho un iMac, le potrebbe piacere :)
G.

Giulio Severini ha scritto:

Che storia!!!!
Pensa che io e un tizio continuiamo ad avere un dialogo di questo tipo:
Lui mi chiama al cell e mi fa
<<Senti, ma si può leggere la casella di posta di un'altro sapendo
l'account ?>>
Io : << Nulla è impossibile, direi dipende ... >>
Lui: << Da Cosa ? >>
Io : << Beh,  bla bla bla .... bla bla bla: in conclusione non mi sembra
il caso di farlo ... bla bla bla ...>>
A questo punto vengo interrotto : << Ma tu lo sai fare ? Mi faresti
questo favore ? >>
Io: << Guarda non ho tempo, ma poi... perchè ti interessa tanto ? >>
Lui: << Beh, sai, è un tipo che dà fastidio alla mia donna ... >>
Io: << Quale delle tante ? >>
<< Quella conosciuta su
www.nome_di_sito_porno_dove_ragazze_da_casa_si_spogliano.com
 ...
sai, è arrivato lui in chat e continua a chiamarla in privato e lei si
stufa perchè non possiamo mai parlare.... >>
Io: << Scusa, ma devo andare, ne parliamo una prossima volta !>>
Un alx che a volte pensa che sia un peso fare Pubbliche relazioni per
tenersi buoni certe persone.

 come ha fatto I. ad hackerare l'account hotmail di P.?
ti posso dire come ho fatto io,
la vittima... non aveva fatto il logout,
non so' se adesso hanno cambiato qualcosa in quanto da allora non uso piu' hotmail,
ma all'epoca (circa 6-7 anni fa') non solo fu' chiuso il browser ma anche spento il pc (circa 
5-10 minuti non piu'),
mi basto' andare sulla pagina di hotmail per loggarmi e leggere la _mia_ posta e invece mi 
ritrovai in linea tutte  l'email dell'altrui account :-/
delle volte per essere hacker basta un'Utonto :-D
ciao

 6. Altro
Si trovano in giro files scritti da presunti hackers che descrivono un
metodo col quale secondo loro č possibile, o almeno sino a qualche tempo
fa era possibile, trovare la password di un qualunque account di: 
Hotmail
MNS 
Yahoo
Semplicemente conoscendo l'indirizzo e-mail della "vittima"; 
tale procedura, abbastanza semplice, in pratica simulerebbe una 
richiesta fatta da uno dello staff del provider che compila in un 
modo non divulgato all'utenza il tipo di messaggio che si manda 
al mailserver, e il risponditore automatico del server "credeva" 
che chi gli facesse la richiesta fosse un membro dello staff del 
Provider con accesso legale a tale richiesta, e quindi mandava 
al *vero* account di chi faceva l'illecita richiesta la password 
dell'account di colui/colei "vittima" del misfatto. Ovviamente 
il punto debole di questo sistema č che occorre comunque mandare 
un proprio account *reale* (certo, forse vi sono servizi account che
manco ti chiedono il nome per darti un loro account...), e quindi 
si potrebbe essere rintracciabili (... con le conseguenze del caso).
Tuttavia, e specifico che non ho mai provato la procedura descritta 
da tali hackers, credo che ora Hotmail, Yahoo etc. abbiano preso 
qualche provvedimento che forse non consente piů l'utilizzo di 
tale tecnica.
Non ho qui descritto *nei dettagli* la procedura per motivi che mi 
sembrano molto ovvi: questo č un NG sulla sicurezza informatica, 
NON su come infrangerla!

 
http://xkcd.com/215/
LOL!
xkcd è sempre mitico :)
-- 
Vide

 si potrebbe essere rintracciabili (... con le conseguenze del caso).
Sinceramente non credo che Hotmail/live/Yahoo e compagnia salvino in chiaro
o in forma reversibile le password, sui propri server, e anche se lo
facessero, che inviino la password alla prima mail fatta ad-hoc che
ricevono sugli SMTP pubblici. Diciamo pure che mi sa di classica leggenda
metropolitana da lamer che si crede 31337 perchè sa fare due click in più
dell'utonto medio.
Una cosa molto più plausibile è il classico phishing, in cui l'utente
inesperto casca come un pollo, inviando la propria password a Tizio che si
spaccia come personale di Hotmail.
-- 
Vide

 xkcd è sempre mitico :)
Azz... non lo conoscevo... figo ! :)
GbMax78