Newsgroup: it.comp.sicurezza.windows
Titolo: Possibile attacco quasi sempre di successo basato su social engineering

Pochi giorni fa ho fatto un test sulla mia lan aziendale
Ho realizzato un messaggio e-mail fatto in questo modo:
=================================
from : Amministrazione
Subject: Ci sono alcuni problemi con il tuo stipendio
Data:
Ci sono stati alcuni problemi con i conteggi del tuo stipendio di questo
mese.
Abbiamo realizzato questa paginetta per visualizzare un riepilogo contenete
la revisione dello stipendio e i nuovi conteggi : Amministrazione_stipendi
Utilizza username e password che usi per accedere al tuo computer per
visualizzare i tuoi dati.
Grazie e buon lavoro
=================================
Ovviamente Amministrazione_stipendi era un link ad un sito esterno che aveva
una schermata ad-hoc con username e password e non faceva altro che salvarle
su un db access, la pagina poi proseguiva in un'altra paginetta contenente
un testo che diceva "Non ci sono state modifiche effettuate al tuo
stipendio, tutti i conteggi sono risultati corretti"
Ho usato questo semplice test per verificare l'efficacia di una semplice
tecnica di social engineering e sono rimasto stupefatto, la maggior parte
degli utenti č andata sulla pagina ed ha inserito username e password !
Ora, visto che sono l'amministratore di sistema č stata mia premura rifare
un piccolo ripasso sulla sicurezza a tutti i dipendenti ma comunque sia
tutto questo mi ha fatto pensare, un possibile malintenzionato, senza tanta
fatica, potrebbe reperire tonnellate di password di accesso.
Se la form della pagina incriminata anzichč salvare su server inviasse via
mail le password digitate ad un possibile attaccante il tutto sarebbe ancora
piů difficilmente tracciabile.
Non so fino a quanto possa essere utile tutto questo ma visto che si parla
di sicurezza mi sembrava buona cosa segnalarvelo.
Ciao
Fabio Macor

 si parla di sicurezza mi sembrava buona cosa segnalarvelo.
beh, si parla di sicurezza, si deve tener presente che cmq alla fine è 
l'uomo, l'errore umano, a portare sempre alle conseguenze 
catastrofiche, vedi NASA ad esempio.
-- 
www.x-planet.org
 - Community Web -
www.x-privat.org
 - free news server -
www.x-privat.net
 - web to news gateway -

L'errore può essere:
- umano
- tecnico
... ma l'errore tecnico si verifica sempre a seguito di errori umani

    segnalarvelo.
Qui si parla poco, per ora, di social engineering, ma e' un argomento
di estremo interesse. Se ti interessa c'e' un paper specifico scritto 
da un ex it-blackhats (sicuramente ha letto il tuo post su 
sik.it
 ;-)
e che puoi trovare qui: 
http://www.blackhats.it/it/papers.html
Per cuoriosita': quanto tempo e' corso da quando hai mandato l'e-mail
a quando te ne saresti potuto accorgere se non fossi stato tu a farlo
(senza considerare che l'e-mail sarebbe potuta essere recapitata pure
a te :-) => tempo zero).
Fabio

 Fabio
ciao
Fabio M.

 difficilmente amano parlarne in giro.
Senza dubbio, l'accesso al sito-trappola sarebbe istantaneo :-) Neanche 
con "sesso" otterresti tempi simili. Quello che intendevo dire era che 
otterrai decine di password:
- per accedere sistemi che da li a poco potrebbero essere blindati;
- che verrebbero cambiate nei tempi tecnici piu' brevi possibili;
- che potrebbero essere, da li a poco, usate come honeypot.
Il tutto relativamente a un target che, a quel punto, _sa_ d'essere tale 
e che potrebbe mettere atto una nutrita serie di contromisure.
E' un oscenario che mi sembra poco interessante per chi attacca, anche 
se sicuramente puo' essere preso in considerazione. Forse e' meglio 
privilegiare altre strade, prima di prendere in considerazione questa,
anche se tutto dipende, come sempre, da obiettivi e motivazione. E' il
principio dei kamikaze: se non te ne fotte niente di quello che potra'
succedere puoi scegliere la strada che vuoi, ma se ti preme mantenerti
in vita...
Fabio

 E' un oscenario che mi sembra poco interessante per chi attacca,
Sono completamente d'accordo a metà con te :)
(e ho lasciato "oscenario" nel quote perchè è un typo divertente)
Condivido in pieno il discorso sul fatto che destare meno sospetti 
possibile è probabilmente in testa alle priorità di un possibile 
attaccante.
Il "giochetto" proposto dal nostro amico diventa molto rischioso se 
si punta a raccattare tantissime password in un colpo solo però può 
essere redditizio se si cerca di recuperare la password di uno 
specifico utente che si sa a priori essere inesperto ma che, 
probabilmente, avrà diritti di accesso abbastanza elevati. 
(chi è che ha gridato "marketing!" da in fondo alla sala?)
Sicuramente non serve per avere il login dell'amministratore di rete. 
(chi ha gridato "Administrator:admin!" in fondo alla sala?)
Quella password può essere utile per "mettere un piede dentro la 
porta" e avere un punto di partenza interno alla rete (o magari per 
entrare "fisicamente" nella rete se l'utente ha un portatile e/o la 
possibilità di collegarsi via modem/VPN etc.).
-- 
Valter Minute
vmi...@inwind.it
 (the reply address of this message is invalid)

 Fabio
ciao
Fabio M.

 (chi ha gridato "Administrator:admin!" in fondo alla sala?)
Tips'n'tricks: spesso alcuni membri della direzione, per motivi a
me ignoti, vogliono che i loro account siano amministrativi o con
privilegi molto elevati. Gli stessi membri vogliono pure avere la
segretaria, che sa sempre tutto per definizione...conti correnti,
spostamenti, sa fare la firma... legge la posta e sa le password. 
E' un target non trascurabile, visto sia dall'attacker sia da chi
deve formarla in merito alal sicurezza.
Fabio
[1] che ci provo, ma e' dura... documenti e riunioni... ed ancora
    adesso mi fanno delle porcherie inverosimili.

 il gioco è fatto.
Nell'altro post ho proposto un target che, secondo me, e' interesante.
Fabio