Newsgroup: it.comp.sicurezza.varie
Titolo: The Giant Wooden Horse Did It!

Nel messaggio 
20031030152932.32...@vene.ws
 scrivevo di un
imputato per pedo-pornografia assolto per il dubbio che il suo personal
computer fosse stato abusato tramite qualche cavallo di troia.
Pare che questo tipo di difesa, ultimamente, vada molto di moda.
L'articolo 
http://www.securityfocus.com/columnists/208
 prosegue con
alcune riflessioni riguardo questo tema.
xpost e f/up su it.comp.sicurezza.varie
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*           27/11/2003 Rilaciata la prima relase di qixl!          *
*    
http://sourceforge.net/projects/qixl
 : una gui per iSiloXC    *
*  
www.google.com
 / 
groups.google.com
 : cercare prima di chiedere  *


difatti e' anche per questo motivo (penso) che hanno deciso di modificare
la legge sulla Privacy, imponendo misure di sicurezza a chi utilizzi dei
personal computer collegati ad internet.
Per ora credo valga solo per le aziende, vedrai che presto lo estenderanno
anche a chi il pc lo ha a casa.
Cosi' poi anche i "portatori inconsapevoli" di cavalli di troia saran
serviti ;-)

 Pare che questo tipo di difesa, ultimamente, vada molto di moda.
log e rinvenimento di file compromettenti da soli non dovrebbero mai
bastare a condannare nessuno a parer mio.
a meno di loggare tutto il traffico di tutti gli utenti a livello di
payload (improponibile per mille ragioni) non si puo' sapere se a
collegarsi ad un certo server per compiere un certo crimine sia stato il
legittimo proprietario del pc o un pirata da remoto che ha usato la
vittima per rimbalzare anonimizzandosi. non e' nemmeno necessario
dimostrare di avere un trojan installato perche' e' comunque plausibile
che il pirata, compiuto il suo crimine, abbia tolto l'arma del delitto per
qualche ragione. quindi questa difesa e' sempre possibile.
come si puo' distinguere chi mente da chi e' sincero? dalla faccia?
occorrono ovviamente altri motivi di condanna, altre prove, qualche
precedente, un elemento che elimini il ragionevole dubbio. a tal fine non
e' ovviamente possibile usare la macchina dell'indagato e nemmeno log di
alcun tipo sul suo traffico quindi inevitabilmente occorre cercare altre
strade o chiudere l'indagine.
un esempio banale su cui riflettevo: supponiamo che $vittima abbia una
qualche vulnerabilita' che permette a $cracker di inserire un trojan
scritto ad hoc. tale trojan informa $cracker dell'ip di $vittima mandando
un post di prova su $gerarchia.test ad ogni collegamento a internet e
contiene un client p2p per $notop2p modificato in modo da connettere
$vittima a $retenotop2p mettendo in condivisione pure qualche mp3 in
voga. il trojan e' poi anche in grado di rispondere alle richieste di
$cracker che dialoghera' con pacchetti simili a quelli usati dal
protocollo di $notop2p.
supponiamo ora che $polizia si metta a guardare il dettagliatissimo log
del provider di $vittima: cosa vedra? a livello ip vedra' che $vittima
prima si e' connesso a $retenotop2p e che dopo un po' gli sono arrivate
connessioni da altri ip dinamici tra cui quello di $cracker che sara'
quindi solo uno dei tanti.
puo' forse $polizia andare a casa di tutti quelli che si sono connessi a
$vittima per controllare? oppure supponiamo che $cracker rimuova il
trojan e che $polizia non trovi proprio nulla di sospetto..
barbun e il fantacracking che poi tanto fanta puo' non essere.
-- 
per leggere e postare su free.it.*:
http://infofreeit.altervista.org/polacco.zip

 barbun e il fantacracking che poi tanto fanta puo' non essere.
e piantala di far pubblicita' occulta, che ti segnalo a Striscia, sai.
Danny e il cocacolacracking ;-)

 cavalli di troia saran serviti ;-)
Si dice "Portatori sani di troia" !!
Trattasi di quei tizi che accompagnano le donnine in
auto sulla tangenziale e poi le vanno a riprendere :-)

ObiWan ha scritto:

Visto la *merce* che trattano, non insisterei troppo sulla
parte "sani"
E poi, da noi, non ci sono, sulla tangenziale.
Altrove, si'.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 
[...]
Sono d'accordo con il tuo post.
Aggiungo una variante.
Invece che collegarsi direttamente al povero "tapino", il cracker 
potrebbe fare in modo che il PC del "tapino" posti messaggi di 
apparente spam su diversi newsgroup e legga allo stesso modo le 
istruzioni, magari eseguendone una parte e ripostando il resto per un 
altro "tapino". Ovviamente tra le istruzioni ci sarà anche un comando 
che permette di rimuovere il trojan e cancellare le tracce dal PC 
locale, magari friggendo qualche file di sistema, dopo aver 
sovrascritto 26 volte con dati random i file scaricati e aver riempito 
di fuffa tutta la memoria virtuale, in modo da assicurarsi una 
riformattazione e una reinstallazione o (magari) un bel cambio di disco 
(tutte operazioni che, tra l'altro, potrebbero mettere in cattiva luce 
il "tapino" se effettuate poco prima della visita delle forze 
dell'ordine...).
In questo modo tutte le connessioni sono avviate dal PC "posseduto" ed 
è più difficile mettere sotto controllo il PC del "tapino" in oggetto 
in attesa che il "controllore" ci si colleghi, visto che gli basta 
collegarsi a un qualsiasi server di news, magari nemmeno sempre lo 
stesso e scaricare tutti i messaggi di parecchi gruppi (come fanno 
tanti normali utenti di usenet...) o anche scaricarli da google o altro 
motore di ricerca...
-- 
Valter Minute
vmi...@inwind.it
 (the reply address of this message is invalid)

 trojan e che $polizia non trovi proprio nulla di sospetto..
Oppure che $vittima abbia installato la backdoor di proposito...


 parte "sani"
Uh ... concordo :-)
A propo, nel caso in cui uno trovasse un "cavallo di
troia" nel proprio sistema; il metodo di rimozione piů
sicuro č quello di telefonare alla "troia" e chiederle
se gentilmente puň venire a riprendersi il cavallo (poi
a volte qualcuno approfitta della visita, ma questo
esula dal discorso "sicurezza del sistema") :-)
Ciao

 Oppure che $vittima abbia installato la backdoor di proposito...
altrettanto plausibile: e' difficile distinguere tra $vittima e
$falsavittima. che sia la versione informatica della scappatoia
psichiatrica di certi assassini "incapaci di intendere e volere"?



si ma non confondiamo il cavallo di troia con quello dei
pantaloni, per cortesia ;-)


La cosiddetta' "infermita' mentale" del proprio pc ? :-)

 pantaloni, per cortesia ;-)
Beh, qualche punto di contatto lo si puo' trovare.
ddddriiiiiiiiiiiiiiiiiiiiiiinnnnnnnnnn!!!!!!!!
Ok, ragazzi, la ricreazione e' finita, tutti in classe che si parla
di sicurezza.


 
Se proprio vogliamo fare un parallelo, per la versione informatica devi 
avere 8 backdoor, 2 trojan e qualche migliaio di swen a bordo, altrimenti 
vieni etichettato come "uno che ce vole prova'"
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	(Seen on TV!!!)
	"Risparmiamo 5 centesimi a transazione!"

 altrimenti vieni etichettato come "uno che ce vole prova'"
Non necessariamente: purtroppo basta una sola backdoor per instillare un
"ragionevole dubbio" (in mancanza di altre prove, ovviamente: nel caso
di un sospetto pedofilo, ad esempio, la presenza di
cdrom/dvd/videocassette, eccetera)


 vieni etichettato come "uno che ce vole prova'"
se io fossi un cracker che usa un trojan per far rimbalzare il suo crimine
(sia esso un attacco alla casa bianca o un traffico di pedofilia) avrei
cura di ripulire l'ospite prima di abbandonarlo proprio perche'
probabilmente un detective non trovando cose strane non crederebbe a
questa difesa.. e io potrei star tranquillo scaricando la colpa su qualcun
altro.
secondo me puo' essere una difesa non credibile "a naso" ma non e' quasi
mai smascherabile esattamente come "a naso" non sono credibili tante
richieste di scarcerazioni per problemi di salute/psichiatrici o che so io
(tutti pazzi e malati i delinquenti?).


 
Non ho messo la faccina.. di solito danno un condannone a chi ha messo 
sotto uno con l'auto e la incapacità di intendere e di volere a chi ha 
maciullato 57 vecchiette all'ospizio perchè non sapeva cosa fare
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	(al telefono con un cliente)
	IO: "Qual'è il suo indirizzo email?"
	CLI: "Siamo in via della puppola"

 maciullato 57 vecchiette all'ospizio perchè non sapeva cosa fare
La giustizia terrena e' prona all'errore e in italia, spesso, per alcune
persone la legge e' piu' uguale che per altri.


cdrom/dvd/videocassette, eccetera)
   Non sono d'accordo con quel "purtroppo". :)
   Mi allaccio ai fili telefonici del mio vicino [1] che ha Alice Adsl
[2], aspetto che esca di casa, faccio cadere la linea cantando "I'm
singing in the rain" [3] da un telefono non collegato a filtri, mi
collego con il mio modem adsl e faccio quello che voglio.
   Direi che anche l'assenza di backdoor, se non accompagnata da altre
prove, rende la presenza di tracce su qualche log insufficiente alla
condanna, ancorche` sufficiente allo sputtanamento pubblico a vita.
[1] Occorrente, 3 cm. di filo e non si lasciano nemmeno tracce,
volendo.
[2] Non usano piu` la password.
[3] Giuro che ha un effetto incredibile su adsl. :)
-- 
S.L.

Preciso: "purtroppo" nei confronti dei veri colpevoli
   Ecco, avevo appena protestato per il purtroppo... :)
   Comunque per quelli veri qualche altro indizio lo lasceranno in
giro, a parte qualche scaricamento di file.
   Insomma, un presunto pedofilo, senza materiale pedofilo di alcun
tipo a casa e nel pc, senza precedenti, senza tracce di alcun tipo su
conti correnti, con 1 backdoor installata sul pc, io lo vedo come un
poveraccio incastrato. :)
-- 
S.L.