Una settimana ricca di notizie: da Heartbleed (ancora?) al bug crittografico di Apple

Durante questa settimana si è parlato anocra di OpenSSL e del bug Heartbleed; Apple ha risolto un problema crittografico presente nei propri sistemi operativi iOS (per dispositivi mobili) e OSX (computer); AOL e i suoi utenti sono state vittime di un serio problema di sicurezza; la Iowa State University è stata attaccata da alcuni cybercriminali che hanno cercato di sfruttare le sue risorse informatiche per operazioni di bitcoin mining.

La saga continua

Si sta ancora parlando della gravità e della profondità del bug Heartbleed che ha interessato OpenSSL. Il dibattito si concentra soprattutto sugli effetti che si potrebbero verificare nel lungo termine sul sistema dei certificati digitali. Tali certificati servono per verificare l’affidabilità di una pagina web e allo stesso tempo ci avvisano se c’è un problema nel sistema crittografico.

Questa settimana è un po’ diversa perché per la prima volta le aziende hanno iniziato seriamente a cercare alcune misure per prevenire incidenti simili in futuro.

Una nuova organizzazione, chiamata The Core Infrastructure Initiative sta costruendo un fondo multimilionario che servirà per supportare i progetti open-source vitali per la sicurezza di Internet. OpenSSL è il primo progetto che riceverà i fondi provenienti principalmente da Foundation, Microsoft, Facebook, Amazon, Dell, Google e da altre importanti aziende IT. Anche Mozilla Corporation ha fatto la sua parte, offrendo una ricompensa di 10 milioni di dollari a quei ricercatori che riescono a trovare una vulnerabilità di sicurezza grave nella libreria che verifica i certificati che l’azienda vuole aggiungere alla versione 31 del suo browser Firefox la prossima estate.

Apple risolve un bug nel certificato SSL di iOS e OSX

Apple ha pubblicato alcune patch per risolvere un grave problema di sicurezza presente in molte versioni sia dell’iOS che nel OSX. Questa vulnerabilità potrebbe permettere a un cybercriminale di intercettare i dati di connessione SSL cifrati. In poche parole, grazie a questo bug, un cybercriminale potrebbe leggere il contenuto dei messaggi, sia comunicazioni sia informazioni personali.

Si tratta di uno dei vari bug che l’azienda di Cupertino (California) ha risolto rispetto a due dei suoi principali sistemi operativi. Sebbene forse non si tratti di una cosa grave, questi errori nella crittografia potrebbero portare a conseguenze più importanti. Gli utenti di questi sistemi operativi dovrebbero entrare il prima possibile nell’App Store e installare gli aggiornamenti.

Problemi per AOL

Non sappiamo se oggigiorno sono molti gli utenti che utilizzano come provider di posta elettronica AOL Mail, tuttavia è bene segnalare una notizia che forse interesserà alcuni di voi: un numero non identificato di account AOL è stato vittima di un attacco di “spoofing”.  Una volta entrati negli account, il cybercriminale o i cybercriminali responsabili della botnet hanno iniziato a inviare mail di spam ai contatti degli account compromessi. AOL ha confermato di essere consapevole dell’hackeraggio, nonostante AOL non ne ha parlato in questi termini e non si sa quanti utenti siano stati interessati o quante email di spam si siano inviate. L’aspetto curioso è che AOL ha dichiarato che è improbabile che gli account mail siano stati compromessi, ma che più probabilmente si tratti di un caso di “spoofing”.

Come precisato da AOL, gli attacchi di spoofing prevedono l’invio di mail spam che sembrano provenire dalla vittima, mentre sono stati inoltrati dai cybercriminali attraverso i server spam. In poche parole, AOL afferma che non si tratta di hackeraggio in gran scala ma di un tentativo organizzato da alcuni criminali di “imitare” gli account degli utenti. Comunque questo non spiega il perché gli hacker siano arrivati ad avere nelle loro mani la lista delle vittime. Quindi mancano ancora molti dati.

Trojan SMS negli USA

I trojan SMS che inviano messaggi a numeri premium non sono una novità. La truffa è la seguente: i cybercriminali obbligano alle sue vittime a scaricare un trojan nei loro dispositivi mobili. Il trojan ottiene la capacità di inviare SMS al dispositivo infettato e poi il trojan invia SMS a numeri a pagamento controllati dai cybercriminali o da qualcuno di loro. Gli unici che pagano sono le vittime dei dispositivi infettati.

Come vi hanno detto, si tratta di truffe che succedono spesso. La cosa strana è che, per ragioni che non conosciamo, i trojan SMS non erano ancora riusciti a raggiungere gli Stati Uniti. Tuttavia, a quanto pare la situazione è cambiata radicalmente questa settimana e i ricercatori di Viruslist hanno individuato un trojan per Android che si rivolge agli utenti statunitensi.

Come se tutto questo non fosse sufficiente, FakeInst (questo è il nome del trojan) ha attaccato anche gli utenti Android in altri 65 paesi tra cui Germania, Francia, Finlandia, Hong Kong, Ucraina, Regno Unito, Svizzera, Argentina, Spagna, Polonia, Canada e Cina.

La Iowa State University attaccata per ottenere… bitcoin?

Quindi, la situazione è questa. Un’importante università statunitense è stata hackerata e la potenza del computer è stata usata per generare bitcoin, moneta elettronica che ha vissuto molti alti e bassi nell’ultimo anno. Con una sufficiente potenza di CPU, si possono risolvere alcuni algoritmi e generare in questo modo nuovi bitcoin. Grazie a questo processo chiamato “mining”, si possono guadagnare molti soldi e sappiamo che i cyber criminali sentono l’odore dei soldi da lontano. Il “mining” illegale di bitcoin non è una pratica nuova, ma l’aspetto nuovo è che ora anche grandi istituzioni educative come la Iowa State University possono essere degli obiettivi molto appetibili. Ma la storia non finisce qui. Con questa operazione, sono stati compromessi dati della provvidenza sociale di più di 30 mila studenti.