Newsgroup: it.comp.macintosh
Titolo: Bug di sicurezza:  il Re e' nudo?

Senza stare a scomodare le opzioni "apri con" ... e' purtroppo molto
semplice fare un trojan semplicemente  costruendo una applicazione
"fat", dandogli un nome che non termina con ".app",  e mettendogli
tramite copia-incolla la icona di un pdf,  moc, jpg, txt, e altro.
Appena viene doppiocliccata la applicazione parte e fa tutto quello che
gli pare,  magari alla fine puo' anche visualizzare effetivamente un
documento pdf, tanto per non insospettire l'utente.
Un esempio di questo tipo e' proprio sul CD di istallazione di Tiger, e
si chiama  "Welcome to Tiger".      Sembra un pdf, ma in realta' e' un
applicazione  che alla fine mostra un pdf.
In questo caso, se uno ha selzionato nelle prefernze del finder  "Mostra
tutte le estensioni dei documenti", vede anche dal nome che si tratta di
una applicazione.  Pero' basta che tale opzione non sia settata
(situazione di default) o che la applicazione sia compilata come "fat" e
abbia un nome che non termina con ".app"  che tale suffisso NON SI VEDE
ingannando facilmente l'utente.
Osservando le cartelle "Come elenco", chiaramente  si vede che la classe
del documento e' "Applicazione", ma chi si mette mai ad osservare questi
dettagli? (finora!).  
Vi eravate tutti accorti che  "Welcome to Tiger" e' una applicazione?
Soluzioni?  
Visualizzazione delle finistre in modalita' "elenco" e occhi aperti
sulla classe, oppure  mai fare doppio click sui documenti provenienti
dall'esterno, ma spostarli sopra il loro ipotetico reader.
Altre idee??
Franco Mazzanti

 Altre idee??
beh per esempio un elenco delle cose che ha fatto dezippando e
mostrando i file che non usano applicazioni de default e quelli con le
icone cambiate...
cioè quando dezippa un file "strano" ti dice i file che hanno
preferenze particolari e poi 'zzi tuoi!


Pero' io aspetto un fix ufficiale, anche se temporaneamente sto con
quelli non ufficiali.
 - ∞, 
http://millenomi.altervista.org/

 tramite copia-incolla la icona di un pdf,  moc, jpg, txt, e altro.
Quando la scarichi, Safari ti dovrebbe avvisare che č un'applicazione,
perň. Comunque che sia possibile creare applicazioni che fanno danni č
la scoperta dell'acqua calda...
-- 
Salutandovi indistintamente

 la scoperta dell'acqua calda...
Eudora, molto simpaticamente, se uno tenta di aprire un allegato che e'
una applicazione, te lo notifica e ne chiede conferma prima di  fare
qualsiasi cosa.  Non solo cliccando nella mail, ma anche DOPO che
l'allegato e' stato apparentemente gia spostato sulla scrivania!
Veramente da apprezzare.
Purtroppo basta che l'allegato sia impacchettato in un .zip  .hqx   .tgz
.dmg  o altro ed il controllo non viene bypassato.
Certo, che le applicazioni possano fare danni (anche nel caso non siano
appositamente progettate per quello)  è la scoperta dell'acqua calda.
Se pero', con una crescita della diffusione dei Mac dovesse aumentare
l'interesse a fare trojans  ... sarebbe un bel guaio perche al momento
mi sa che il MacOS e' abbastanza in braghe di tela sotto questo punto di
vista.

 preferenze particolari e poi 'zzi tuoi!
Quali sarebbero le "preferenze particolari"?
-- 
Uccidete i filosofi e tenetevi riso e bacchette per voi.

 Veramente da apprezzare.
  Vero. Molto apprezzabile anche che Euroda segnali quando il link e
l'url sottostante non coincidono, come nei tetativi di phishing
banca/eBay. :)
-- 
Nicola D'Agostino
<!-- 
http://www.nicoladagostino.net
 -->
<!-- 
http://www.nezmar.com
 -->

 banca/eBay. :)
Purtoppo Eudora NON segnala  i documenti aventi il campo "avvia con.. "
incosistente rispetto al loro nome.
Sia il  trojan originale, che nasconde uno script shell dentro un altro
documento (e.g.  demo.mov) assieme all'informazione di farlo aprire
dalla aaplicazione  "Terminal", sia la sua  variante java  che nasconde
codice java assieme all'informazione di farlo aprire dal  "jar launcher"
possono tranquillamente essere inviati per email anche con Eudora.
Franco
 

franco wrote:
 > [...]
Beh, ma questo non č un bug di per se: č sempre stato cosě e vale per 
qualunque sistema ove puoi "nascondere" o non utilizzare le estensioni
ciao

 incosistente rispetto al loro nome.
  Vero. Perň molto apprezzabile anche che Eudora segnali quando il link
e l'url sottostante non coincidono, come nei tentativi di phishing
banca/eBay. :)
c.f. Nvhgb, fvnzb pnqhgv va ha ybbc!
