Newsgroup: it.comp.sicurezza.windows
Titolo: Modalità infezione da browser

Buonasera a tutti, vorrei capire quali sono i possibili modi (noti) in cui un computer (il mio ad esempio :-)) può subire un danno tramite navigazione web.
 
Lo chiedo perché finora ho sempre pensato che l'unico modo possibile sia che l'utente acconsenta esplicitamente (anche se magari inconsapevolmente) il download di "qualcosa".
 
Esistono altre possibilità? Del tipo una pagina che salva in automatico (cioè senza necessità del permesso dell'utente) un file dannoso sul computer. Oppure una pagina che esegua essa stessa, liberamente, delle azioni dannose per il computer?
 
Grazie in anticipo per eventuali risposte.

stessa, liberamente, delle azioni dannose per il computer?
 
La risposta è complessa, dipende essenzialmente dal browser usato, dal s.o., e
dalle vulnerabilità del tutto.
 
 
Ci possono essere diversi rimedi, poi sta all'utente decidere quale usare.
 
Io per esempio uso quasi esclusivamente il browser Firefox con tutti gli
aggiornamenti di sicurezza e alcune estensioni apposite per evitare problemi. 
 
Una e' NoScript, serve per evitare che il browser lanci dei javascript presenti
sul sito che normalmente sono innocui, ma che all'occorrenza possono essere
pericolosi se sono scritti con cattive intenzioni.
 
Chiaramente i siti possono aprirsi in maniera diversa e sta al navigatore
abilitare i js solo per i siti che ritiene sicuri, questo può rallentare e anche
complicare le cose all'inizio ma poi ci si abitua.
 
Anche il browser Chrome ha un opzione che consente di non eseguire i js ma è
molto meno personalizzabile di NoScript su Firefox.
 
 
Un'altra precauzione può essere il far partire il browser sotto una sandbox,
bisogna prima installare un software che fa da filtro tra il browser e il pc,
rallenta le cose se si devono scaricare dei files, insomma bisogna prima provare
e poi decidere.
 
 
Una terza via, ancora più sicura è eseguire il browser da un s.o. in una Virtual
Machine, ad esempio Virtualbox e poi navigare da li.
 
E' il sistema che io uso se devo fare delle ricerche che mi possono portare su
siti potenzialmente pericolosi, ho un Linux Lubuntu che faccio parire da
Virtualbox in una vm salvata con Firefox gia' lanciato, a partire ci mette come
il Firefox di windows.
 
In questo modo evito tutti i problemi di vulnerabilità di windows e se devo
scaricare qualcosa uso le cartelle condivise per comunicare tra i due sistemi.
 
Certo è un sistema che richiede qualche competenza in piu' per esserere
installato, ma garantisce molta più sicurezza.
 
 
 
-- 
ciao
  Stefano

 pericolosi se sono scritti con cattive intenzioni.
 
Ma fino a che punto può spingersi il JS o qualsiasi altra tecnologia eseguibile dai browser? Può ad esempio accedere in scrittura in qualsiasi punto del disco? O modificare il registro di sistema?
 
Ciao e grazie.

 Può ad esempio accedere in scrittura in qualsiasi punto del disco? O modificare il registro di sistema?
 
Fare cose che richiedono privilegi da amministratore per un js è più difficile.
 
Anche virus tipo Cryptolocker o TeslaCrypt richiedono un azione da parte
dell'utente, di solito cliccare su un allegato di una mail.
 
Qualcuno dice che sia possibile prenderlo anche cliccando su un pulsante in un
sito malevolo, in teoria sarebbe possibile magari sfruttando anche qualche
vulnerabilità del browser, tuttavia non ho conoscenze dirette su questo.
 
 
-- 
ciao
  Stefano

esempio FF con "noscript"
 
Non ho mica scritto che è impossibile, solo più difficile.
 
-- 
ciao
  Stefano

 molto meno personalizzabile di NoScript su Firefox.
 
 
Beh, ma se intendi una "opzione" nel senso delle impostazioni native del 
programma di navigazione, e la confronti con un add-on specializzato, 
bella forza che l'add-on specializzato è più personalizzabile :)
 
Se però guardiamo agli add-on disponibili per fare quel lavoro di cui si 
parlava (abilitare i js solo per i siti che ritiene sicuri ecc.), anche 
su Chrome ce ne sono di validi.
 
Personalmente uso ScriptSafe, che tra l'altro ha una comoda funzione per 
interrogare un noto servizio di reputazione e sapere cosa pensano altri 
utenti riguardo al dominio da cui provengono certi script (ovviamente la 
reputazione non sostituisce altri dati, ma può essere un elemento da 
considerare nel dubbio).
 
Un altro add-on da segnalare è uMatrix, estremamente personalizzabile, 
persino troppo!, perché diventa complesso. Se non erro uMatrix si trova 
sia su Chrome sia su Firefox.

 vulnerabilità del browser, tuttavia non ho conoscenze dirette su questo.
 
 
http://www.cnet.com/news/web-surfers-brace-for-pop-up-downloads/
 
 
"In some cases, people are not even asked whether they want the 
software. It just installs on the hard drive--a particularly troublesome 
tactic that some have dubbed "drive-by download.""
 
"Some Net users have complained of receiving downloads containing a 
virus that automatically redirects them to adult-related sites. Such 
downloads also have been known to install new dial-up programs replacing 
the existing accounts. The Federal Trade Commission recently brought a 
case against people who were using such tactics to install a dial-up 
account for expensive 1-900 numbers."
 
[...]
 
 
La stessa tecnica è stata usata anche per distribuire in maniera forzosa 
software legittimo di per sé, ma poco legittimo nei modi.
 
"For Gator, triggering a download via an ad boosts distribution of its 
wallet and bundled marketing software, the OfferCompanion."