Newsgroup: it.lavoro.informatica
Titolo: vendita exploit su internet

da un socio del clusit:
zero day exploit per windows vista sono venduti a $ 50.000 su alcuni
siti di hackers.  ad un prezzo variabile tra i $20.000 e i $30.000 è
possibile comprare uno zero day exploit. per $5000 e' possibile
comprare un nuovo bot o trojan. penso che l'industria del malware stia
generando più soldi di quella dell'antimalware.



e pensi male...chi diavolo dovrebbe spendere 50.000$ per comprare un 
exploit che non ha nessuna garanzia di funzionare e che se funziona 
funziona solo su quella particolare versione, in quella lingua, con 
quella particolare dll...
di acquirenti cosi', che devono essere molto motivati, se va bene ne 
trovano uno o due...
e se hai 50.000$ da buttare ci sono ben altri modi per entrare in un 
computer...al limite pagando tom cruise per calarsi dal soffitto :-PPP

 computer...al limite pagando tom cruise per calarsi dal soffitto :-PPP
Per 50.000 dollari io ti porto fuori un disco dei server in raid1
Per quelli in raid5 mi posso organizzare ma per quella cifra piuttosto 
vengo qua di notte a farti un ghost :)

 computer...al limite pagando tom cruise per calarsi dal soffitto :-PPP
Dipende da quello che ci vuoi fare, eh!
ivan
-- 
By 1977 or so, PLATO was featuring real-time multiplayer dungeon games,
not to mention real-time spacewar, IM, chat, email, netnews, and a host of
other things we now take for granted. All this on high-resolution plasma
panel terminals connected at 1200 baud to twin Cyber 6600 supercomputer.
Now you understand why I was kicked out of Cornell for a year; PLATO was
crack for computer nerds. (Robert Woodhead, co-creator of Wizardry)

 computer...al limite pagando tom cruise per calarsi dal soffitto :-PPP
effettivamente si puo bucare un server con un trapano di lidl

terribile pirata wrote:

ma: e' legale? 
come faresti a incassare (non dico poi fatturare)...
come puoi guadagnare dallo scrocchiare sistemi? 
il tuo post mi ha molto incuriosito... 
ciao

 ma: e' legale?
...

 come faresti a incassare (non dico poi fatturare)...
Sorry, but ROTFL
--
ale
http://ale.riolo.co.uk

 il tuo post mi ha molto incuriosito... 
anche il tuo, non sei un informatico vero?
-- 
Dear customer, you are like a finger in the ass.
Best Regards.
		Your Technician.


wrote:

il fatto che siano in vendita non vuol dire che ci sia chi li
compra...
bye!


Mah a me paiono prezzi un po' alti, vista l'enorme mole di bot disponibili.
Visto il trend attuale, spendere 50k $ per uno 0 day mi pare un po' 
inutile, visto che con molto meno si può avere a propria disposizione 
una botnet molto ampia.
Almeno che l'exploit non sia garantito e permetta di creare e poi 
controllare un tipo innovativo di botnet.
In fin dei conti, gli Utonti non sono in calo, anzi ce n'è sempre di 
nuovi a disposizione ;)
G.

 nuovi a disposizione ;)
la Forza scorre potente negli Utenti..

 maschere e non nel core dei servizi.
e se te lo dicono in tanti magari prova ad approfondire e capirai anche 
come mai...

 come mai...
su alcune cose potrebbe impattare come la localizzazione del variabili
tempo e trattamento della punteggiatura nel codice o valuta, le prime
cose che mi vengono in mente, ma siamo ad un livello molto alto e
lontano dal core del sistema, dati che poi comunque vengono covenrtiti
in basso ad uno standard masticabile sal sistema. ma su un servizio
ftp, dns, o rpc?? fammi capire, sono argomenti molto vasti, sto
esprimendo pareri e non certezze assolute

 db di una banca?
Leggi il discorso del SOC ormai onnipresente in ambito finance. con
strumenti di log correlation adeguatamente configurati, l'attacco lo
tracci, nel 90% dei casi. Nel restante 10% devi essere veramente bravo
a cancellare le tracce che lasci, ma in quei casi in tempi più lunghi
un buon security analist ne può venire a capo.

 fare.
Vero, ma per una banca un buon sistema IPS o IDS di tipo passivo ti
deve sgamare anche attacchi "sospetti" di cui non hai la signature.
Se poi le query legittime (intendo anche come formato di parametri)
che fa il frontend sono note e censite, l'attacco si può circoscrivere
con maggiore criterio .
Certo la perfezione non esiste, ma gli strumenti per monitorare queste
cose esistono, penso ai Web Application Firewall, tanto per fare un
esempio.

 un buon security analist ne può venire a capo.
sono della filosofia che se non vuoi essere tracciato le cose puoi
farle fare agli altri:-)
poi un cellulare umts "pulito" risolve tutto:-)

 poi un cellulare umts "pulito" risolve tutto:-)
In linea di principio, la SIM associata al contratto, come sai, in
Italia deve essere registrata con un documento valido, poi del resto
le fai comprare dal marocchino o dall'albanese di turno ed elimini il
problema :-)
Però ricordati che dopo l'uso deve essere buttata...


Purtroppo è già successo anche su banche nostrane che fossero presenti 
palesi errori di programmazione nella parte web che traevano in inganno 
i clienti della banca.
Se il sito è affetto da vulnerabilità XSS grave e per mesi la banca non 
se ne accorge, mi sa che prima di pensare agli IDS e sarcazzi vari, 
occorre ripensare a tutta la struttura.
Invece le banche che fanno? per lavarsene un po' le mani (secondo mio 
personale parere di utente) tirano fuori quelle pallose chiavette col 
numerino che cambia, per far credere al cliente che così "siamo sicuri 
al 100%" !
Quindi, per tornare all'inizio, meglio continuare con botnet mirate 
all'utente che spendere soldi in exploit di dubbia efficacia ;)
G.

 generando piů soldi di quella dell'antimalware.
immainati di avere tutti i dati che quel 0 day ti puo dare:
e-mail
siti visitati
o semplicemente usarlo per spiare il tuo concorrente
o per "farci l'antivirus"
senaza considerare le 2 grosse organizzazioni criminali
mafia e governo. chi se lo compra ? la cia il moussad ad esempio
sulla legalita e' un altro discorso, ma per i citati
non e' un problema

 non e' un problema
Che le varie mafie stiano in questo mercato, è un fatto noto, ma di
certo non si vanno a comprare i dati di semplici mortali ma
commissionano attacchi ad hoc: Tavaroli , Ghioni & C non ti dice
niente?
Individui come questi se vogliono pianificano un attacco su scala
ridotta per avere dati come dici tu _*dal singolo*_ PC, per spiarlo.
Rimango della mia convinzione che si tratta di un mercato molto
monitorato da chi si occupa di sicurezza per molte realtà di grande
spessore, presidiate da SOC o altri enti del genere che il primo
compito che hanno la mattina è di redigere o almeno leggere i
bollettini di sicurezza sugli 0-day...