Perso nel cyberspace!!! (Seconda puntata)

- Ciao papà. Scusa se ti disturbo a quest'ora ma devo chiederti la cortesia di passare a prendere Giulia, se puoi… purtroppo io non posso uscire, sto aspettando che la torta finisca di cuocere. Vi raggiungo più tardi per cena.
Giulia naturalmente ascoltava con attenzione, appesa alla gonna della mamma, cercando di capire cosa avrebbe risposto il nonno. Lei adorava il suo nonno, un po perché da lui poteva fare tutte quelle cose che a casa erano vietate (anche infilare il dito nel barattolo della nutella!), ma soprattutto perché ogni volta c'era una nuova avventura del suo amico Gionzo, il suo estronauta preferito. E ora che ci pensava, la sera prima Gionzo si trovava in grave difficoltà, perso nel cyberspace: e dire che lei non sapeva neanche cosa fosse questa cosa...
- Certo mia cara, nessun problema. C'è anche Francesco da me per cui sono sicuro che si divertiranno. Arriviamo. Giulia aveva sentito a sufficienza. Senza attendere che la mamma mettesse giù il telefono, già correva verso la sua cameretta per afferrare alcune cose indispensabili (in particolare la statuetta in legno di Gionzo che gli aveva regalato il nonno tempo addietro) e per indossare il cappotto e la sciarpa. Anche se la strada da fare era poca meglio non rischiare un raffreddore (diceva sempre la mamma) altrimenti rischi di non essere in grado di aiutare il tuo amico Gionzo proprio quando ce n'è più bisogno. E Gionzo questa volta era nei guai...
- Giulia, è arrivato il nonno... vai ad aprire la porta!
- Si mamma... corro. E mentre rispondeva già correva per la stanza con la sciarpa a penzoloni e Gionzo stretto in braccio.
- Nonno!!! - urlò Giulia saltandogli al collo - Finalmente! Dimmi subito che Gionzo sta bene… ero molto preoccupata per lui. Allora ? Come sta? E' riuscito a tornare a casa dalla sua bella famiglia? Naturalmente tutto ciò era stato urlato nell'orecchio del nonno che per poco non cadde all'indietro.
- Giulia, non urlare e stai tranquilla. Gionzo sta bene, anche se si è perso riesce a telefonare grazie al suo nuovo telelunofono e Francesco sta cercando di aiutarlo ad uscire dal Cyberspazio. Adesso andiamo anche noi ad aiutarlo… quindi fece l'occhiolino alla figlia, la mamma di Giulia, e senza dire altro uscì di casa con la nipotina in braccio, visibilmente preoccupata!
La casa del nonno distava poco più di mezzo chilometro e non ci volle molto a raggiungerla. Giulia correva avanti, girandosi di tanto in tanto verso il nonno, pregandolo di fare presto, come se Gionzo fosse in fin di vita. Il suo visino esprimeva preoccupazione ma anche furbizia e i suoi occhioni assomigliavano tanto a quelli del gatto con gli stivali del film animato...
Qualche minuto dopo erano a casa del nonno.
- Ciao Fancesco! - urlò Giulia appena entrata in casa - hai parlato con Gionzo? Come sta? Puoi aiutarlo a tornare a casa? Le domande, come al solito, erano state poste con la sua voce alta e acuta e Francesco si era dovuto portare le mani alle orecchie per proteggersi. Poi l'aveva abbracciata e sollevata per portarla faticosamente sulla poltrona vicino al camino, dove Giulia si sedette in attesa che qualcuno rispondesse alle sue domande. Questa volta fu Francesco che parlò...
- cara cuginetta, Gionzo sta bene. Però non riesce a tornare. Il suo vascello spaziale è stato hackerato e lui non riesce a riprendere il controllo. Francesco diceva questo con la massima disinvoltura e serietà e Giulia pendeva dalle sue labbra. Certo, non aveva capito tutto, tra cibospazio e accherato non sapeva giudicare quale parola fosse più pericolosa per il suo amico Gionzo ma capiva che Gionzo era in pericolo e questa volta chissà se il nonno o Francesco potevano aiutarlo. 
- Ma, ma... - balbettò Giulia - possiamo aiutarlo? Voglio parlarci io. Sono sicura che se sente la mia voce si sentirà meglio.
- No Giulia, - disse Francesco - adesso non puoi. E' impegnato al computer di bordo della sua navicella. Sta cercando di fare pulizia con un potente Antivirus per cercare di riprendere il controllo della navicella. Giulia, sentendo la terza parola misteriosa della giornata diventò pallida e solo allora capì veramente quanto il suo amico Gionzo fosse in pericolo. Non le era mai capitato di sentire tre parole sconosciute in così poco tempo. 
- Ma io devo fare qualcosa per lui - urlò Giulia sul punto di piangere - non posso stare qui senza far niente. Fancesco, devi spiegarmi cosa sono tutte queste parole strane… dimmi la verità, Gionzo è... morto? Quest'ultima parola era stata pronunciata quasi sottovoce, come se detta a voce bassa fosse meno pericolosa. 
- Ma no Giulia, che dici. Gionzo non può morire - disse il nonno, intervenendo prontamente per evitare una tragedia - stai tranquilla, vedrai che Gionzo riuscirà a trovare una soluzione, non è vero Francesco? E mentre parlava guardava il nipote con aria implorante. Dalla sua risposta probabilmente sarebbe dipesa la salute delle sue orecchie per i prossimi dieci minuti almeno!
- Ma certo nonno. Gionzo se la caverà di sicuro. Gli o appena inviato un antivirus potentissimo e gli ho spiegato come funziona. Gionzo ci sta lavorando ancora ma con il suo casco potenziante sono sicuro che riuscirà a trovare una soluzione. Le parole avevano fatto il loro effetto. Giulia riprese colore e cominciò a correre per il salotto e saltare dalla gioia. Nella sua fervida immaginazione un mostro chiamato "Accher" aveva assaltato la navetta di Gionzo e si era impossessato del computer (prima o poi avrebbe dovuto chiedere a Francesco di spiegargli cosa fosse un computer...) ma un cavaliere bianco che si chiamava "Antivirus", inviato da suo cugino Francesco era corso in suo soccorso. La lotta era dura, ma Gionzo avrebbe vinto...
- Francesco, puoi andare ad aprire la porta? Suonano… Disse il nonno, che intanto cercava di impedire che la piccola Giulia distruggesse gli ultimi soprammobili rimasti ancora interi!

Alessandro Rugolo 

Phishing e Fake news, dalla propria e-mail ai governi

Quando la maggior vulnerabilità è (inconsapevolmente) tra la tastiera e il computer!

Vi sarà capitato di ricevere almeno una volta delle e-mail in cui un qualche figuro, funzionario di una non specificata banca di un paese a caso, vi ha chiesto qualche migliaio di dollari per sbloccare una pratica tramite la quale vi sareste trovati milionari da un momento all’altro.

Questo tipo di e-mail sono comunemente contrassegnate come spam e sono un esempio di come gli attaccanti cerchino di sfruttare la vulnerabilità più grande di un sistema informatico, ovvero l’essere umano.

Questo tipo di attacco viene chiamato “phishing”, ovvero il tentativo di sfruttare la credibilità di un nome od un logo per indurre la vittima a fornire informazioni personali o credenziali, le quali vengono raccolte dall’aggressore e sfruttate o rivendute.

Il phishing non è una tecnica proprietaria dell’informatica, si pensi ad esempio alle truffe ai danni degli anziani, dove l’aggressore si finge un addetto dell’azienda fornitrice di un servizio per poter entrare nell’abitazione, o farsi fornire tramite l’inganno il codice segreto riportato nella bolletta.

Nel campo informatico, il phishing è ampiamente sfruttato non solo per rubare credenziali bancarie o social, ma anche per propagare malware (questo tipo di tecnica viene chiamata appunto “malspam”).

Di solito, anche per via delle normali emozioni umane, si tende a non dare peso al phishing, o si tende a pensare che “tanto io ne sono immune… lo so riconoscere”.

Ebbene, il consiglio è quello di essere sempre sospettosi, e non prendere mai sottogamba questi tentativi di attacco, in quanto alcuni possono essere molto elaborati.

Prendiamo, ad esempio, questa pagina (link: https://loremitalia.altervista.org/testp/ ):

Questa è una copia “pixel-perfect” della home-page di Facebook, creata ad hoc da me proprio per questo articolo.

Se in questo momento lanciassi una campagna di phishing mirata agli utenti americani del famoso Social Network, quante vittime riuscirei a fare?

Ho voluto inoltre pubblicare una dimostrazione (anche se è solo una facciata, non ho inserito ovviamente nessuna funzione di cattura dei dati) per dimostrare anche la semplicità di un simile attacco.

Per produrre un attacco simile è stato sufficiente:

- Recuperare gli “asset” dal sito (circa 30 secondi).

- Modificare un minimo il codice HTML per renderlo compatibile, visibile e “navigabile” al di fuori dei server della Piattaforma (circa 60 secondi).

- Caricarlo su un hosting (circa 15 secondi).

- Modificare l’htaccess (vedremo in seguito cos’è – circa 20 secondi).

Per chi esegue attacchi del genere “per mestiere”, inserire una funzione di salvataggio dei dati richiede al massimo 10 minuti.

In pratica, andando con calma e curando il “contenuto”, un “phisher” esperto può costruire una campagna di successo in un quarto d’ora.

Con una tecnica simile, si possono creare campagne anche per applicazioni web create con framework moderni come Angular, React o Vue.

L’htaccess, inoltre, serve proprio a questo.

I framework sopra citati sono stati creati per facilitare gli sviluppatori nel creare applicazioni che funzionassero da subito come applicazioni multi-piattaforma, su dispositivi diversi, e che supportassero da subito un design “responsive”, ovvero che si adattassero subito agli schermi di vari formati e dimensioni.

Data la loro struttura, le applicazioni vengono eseguite direttamente nel browser, evitando quindi un oneroso lavoro da parte dei server.

Il componente che permette all’applicazione di funzionare viene chiamato “service worker”.

La struttura delle applicazioni create con dei framework può essere molto complessa e strutturata in varie sotto-cartelle.

Ovviamente il phisher non sempre può riprodurre il service worker in maniera perfetta (quasi mai a dire la verità), così lavora per scaricare gli “asset” dal sito.

Gli “asset” sono dei file CSS e Javascript (CSS è un linguaggio che descrive come deve essere visualizzata la grafica di un sito – può essere paragonato ad un “motore grafico” per pagine web, mentre Javascript permette ai vari componenti di funzionare, ad esempio i pop-up che compaiono sui siti per farci accettare i cookies).

L’insieme di HTML, CSS e Javascript permette al sito di funzionare esattamente come dovrebbe, quindi una volta che il phisher ha questi componenti, la struttura dell’applicazione e la pagina iniziale da visualizzare, non deve fare nient’altro che caricare questa “struttura simulata” all’interno di un hosting e modificare l’htaccess.

Il file “.htaccess” (il punto davanti non è un errore), è un file di configurazione che dice ad Apache (un server web) come deve funzionare una cartella o un’intera applicazione PHP.

PHP è un linguaggio di programmazione per il web che permette di creare delle applicazioni che, a differenza dei framework precedenti, è “server-side”, ovvero tutte le operazioni vengono eseguite dal server e non dal browser.

Apache supporta applicazioni PHP, e tramite il file “.htaccess” il phisher dice ad Apache dove prendere la pagina iniziale.

In questo modo, per quanto possa essere complessa la struttura dell’applicazione, il phisher può rispettarla, potendo “riprodurre” qualunque pagina lui voglia (evitando qualunque errore grafico).

Un tipo di attacco del genere è molto difficile da evitare se non si è particolarmente attenti ma, se si è davanti al proprio computer, si può comunque controllare l’indirizzo del browser.

Per questa dimostrazione, ad esempio, si può leggere https://loremitalia.altervista.org/testp/ che ovviamente non è l’indirizzo di Facebook.

Ma davvero possiamo ritenerci al sicuro semplicemente verificando il link?

In linea generale il consiglio è quello di fare sempre attenzione a quali dati si stanno immettendo e dove, ma non è sempre così semplice.

E’ possibile accorgersi di un furto di dati, in quanto nella maggioranza dei casi una volta immesse le credenziali, l’Utente viene redirezionato su una pagina di errore, questo perchè il resto della struttura del sito web e le informazioni cui l'utente dovrebbe accedere non sono (ancora) noti per cui non riproducibili.

Nel caso in cui non ci si renda conto di essere caduti nella trappola, le conseguenze possono essere gravi: di solito l’obiettivo è il furto di dati personali o industriali, il furto di coordinate bancarie oppure (tramite malspam), infettare il dispositivo dell’Utente per farlo rendere inconsapevolmente un “complice” del criminale (una rete di questo tipo, formata da PC “zombie” controllata dall’aggressore da remoto, viene definita “botnet”).

Proprio per la gravità di tali conseguenze, si consiglia sempre di osservare con attenzione il link della pagina dove si sta navigando, il mittente delle e-mail che si ricevono e gli eventuali link riportati.

Molte volte, per scoprire se si tratta di truffa, basta cliccare con il tasto destro del mouse, cliccare su “copia indirizzo” ed incollarlo sul blocco note.

Si noterà subito se trattasi di link originale o di una truffa.

Nel caso si ricevano ripetute e-mail di questo tipo, si può provvedere ad inviarne segnalazione, tramite apposita procedura, tramite il sito web https://www.commissariatodips.it/

Alcune volte non basta, e ad aiutare i “bad guys” ci pensano le innumerevoli vulnerabilità software, o applicazioni malevole.

Per fare un esempio, mentre sul computer possiamo installare dei software anti-virus, anti-spam e “reputazionali” che ci aiutano a distinguere se stiamo navigando su un sito sicuro o meno, il discorso cambia per I dispositivi mobili.

Proteggere la navigazione su smartphone risulta molto più difficoltoso, sia perchè non esistono delle suite di protezione ben sviluppate, sia perchè sullo smartphone siamo legati a delle “app”, le quali ci guidano verso il servizio da noi richiesto.

Le app (di qualsivoglia servizio) di solito vengono pesantemente testate prima del loro rilascio e in linea generale ricevono aggiornamenti costanti, ma come ben sappiamo “poggiano” le loro basi sul sistema operativo dello smartphone, il quale rappresenta un ecosistema molto più grande e maggiormente prono alle vulnerabilità.

Per fare un esempio, ultimamente è stata resa nota una vulnerabilità che è stata chiamata “StrandHogg”, che affligge tutte le versioni di Android.

Questa particolare vulnerabilità sfrutta il sistema di multitasking del sistema operativo, ovvero quel sistema che permette di avere aperte molteplici applicazioni contemporaneamente.

La vulnerabilità, per essere specifici, sfrutta un particolare controllo del sistema Android chiamato “taskAffinity”, che permette ad un’applicazione (anche malevola), di assumere qualsiasi “identità” nel sopracitato sistema multitask.

Sfruttando questa vulnerabilità è possibile, per un’applicazione malevola, di “prendere il posto” (tecnicamente viene effettuato un “hijack”) dell’applicazione originaria.

Questo consente di reindirizzare l’utente in una falsa schermata e poter quindi rubare credenziali, ma anche superare le autenticazioni a due fattori (pensiamo ad esempio alle app bancarie e all’SMS di controllo).

Anche in questo caso, il phisher può rubare i nostri dati ed è molto più complesso per l’utente rendersi conto di ciò che sta accadendo.

E’ anche vero, però, che l’applicazione malevola deve essere installata sullo smartphone della vittima, è quindi necessario fare estrema attenzione a cosa si installa.

Aziende come Google ed Apple, che gestiscono i marketplace più grandi attualmente sul mercato, rimuovono sistematicamente molteplici app dannose, ma comunque l’utente deve sempre fare estrema attenzione per non avere problemi.

Ora cerchiamo di pensare a cosa può portare un attacco di phishing, stavolta mirando ad un intero Stato.

ATTENZIONE: LO SCREENSHOT CHE SEGUE E’ UN FALSO, ED E’ STATO CREATO APPOSITAMENTE COME DIMOSTRAZIONE.

Come detto in precedenza questo è un falso, ed è solo una dimostrazione creata ad hoc per l’articolo, ma analizziamolo nel dettaglio:

Come si può immaginare, se fosse vero questo tweet, ne risulterebbe uno scandalo e una possibile rottura dei rapporti tra due Paesi.

Ma sappiamo che non è reale, è appunto una dimostrazione, ma perchè farlo?

Gli attacchi informatici non sono mai casuali, e spesso hanno radici nelle situazioni geopolitiche dei Paesi coinvolti.

Un attacco informatico di questo genere è economico, non causa vittime e difficilmente può essere attribuito, è quindi utile per creare delle pressioni verso una Nazione, creare una destabilizzazione controllata e contemporaneamente mantenere i canali diplomatici aperti.

Un “fake” come lo screenshot sopra riportato, potrebbe essere utile per creare una destabilizzazione nell’opinione pubblica.

Nel momento in cui qualcuno andasse a verificare la presenza del tweet, si potrebbe sempre pensare che sia stato rimosso, mantenendo vivo il dubbio.

Questo comportamento, tipico delle fake news, è utile per creare una spaccatura nell’opinione pubblica la quale, a seconda delle preferenze politiche, potrebbe credere o non credere che il post sia vero.

Si può usare questa tecnica anche per “distrarre” l’opinione pubblica rispetto ad un determinato problema.

Per massimizzare l’efficacia di una campagna simile, si può utilizzare una tecnica relativamente nuova, chiamata “deepfake”.

Il deepfake è una speciale tecnica che permette di elaborare un’immagine sovrapponendo e modificando tramite l’Intelligenza Artificiale l’immagine originale, creando quindi un falso indistinguibile dall’immagine di partenza.

Questa tecnica è ampiamente utilizzata, ed è famoso il caso del deepfake mandato in onda dal programma Striscia la Notizia (link al video: https://www.youtube.com/watch?v=E0CfdHG1sIs )

Per realizzare un video deepfake è necessario ricorrere ad una scheda video NVIDIA che supporti l’architettura CUDA, ovvero che permette l’elaborazione dei calcoli in parallelo.

Attualmente è quindi sufficiente impiegare un normale computer da gaming, e il software che è possibile reperire in rete.

E’ normale aspettarsi che, per chi ha abbastanza risorse, è molto facile creare delle strutture, campagne e pagine/immagini/video talmente ben fatte da portare un attacco su vasta scala e di sicura efficacia.

E’ comunque possibile proteggersi da tutto ciò, e vorrei dare un suggerimento in merito:

come avete avuto modo di vedere, per quanto complessa fosse l’operazione, quì il target dell’attacco non è una macchina ma la singola persona, la quale rappresenta la “vulnerabilità” maggiore, in quanto le proprie esperienze e le proprie emozioni, possono influenzare o meno un giudizio.

Per difendersi è necessario “aggiornarsi”, senza pregiudizi dettati da un colore politico o da una preferenza personale, analizzando secondo il proprio buon senso le varie situazioni, informandosi, per non cadere vittime di una truffa o per evitare di fare il gioco di chi trae profitto da una destabilizzazione. 

Alessandro Fiori

Per approfondire:

https://promon.co/security-news/strandhogg/

https://it.wikipedia.org/wiki/Phishing

https://it.wikipedia.org/wiki/Deepfake

https://it.wikipedia.org/wiki/Rete_neurale_artificiale

Europeancybersecuritychallenge: Italia seconda in classifica.

Intervista a Emilio Coppa, Giovanni Lagorio e Mario Polino allenatori della squadra italiana di cyber defender "TEAM ITALY" formata da allievi del percorso formativo Cyberchallenge.IT (https://cyberchallenge.it/team).

Emilio Coppa è un assegnista di ricerca presso il Dipartimento di Ingegneria informatica, automatica e gestionale della Sapienza Università di Roma. Ha ricevuto un dottorato in Informatica nel 2015 e i suoi interessi di ricerca si focalizzano su tecniche di analisi statica e dinamica del software. Dal 2017 fa parte del comitato organizzativo di CyberChallenge.IT ed è uno dei responsabili della squadra nazionale per l'European Cyber Security Challenge (ECSC).

Giovanni Lagorio è ricercatore presso il DIBRIS dell'Università di Genova. Interessato alla sicurezza informatica e ad attività di ethical hacking, è fra i fondatori del team ZenHack e organizzatore di CyberChallenge.IT per la sede di Genova. Dal 2019 è uno dei responsabili della squadra nazionale di cyber-defender per l'European Cyber Security Challenge (ECSC).

Mario Polino è assegnista di ricerca presso il DEIB del Politecnico di Milano dove si occupa di Malware e Binary Analysis. Dal 2009 partecipa a competizione CTF con il team Tower of Hanoi e dal 2018 con mhackeroni. Dal 2019 è l’allenatore del team nazionale di cyber-defender per l'European Cyber Security Challenge (ECSC)

Prima di tutto una breve panoramica sui componenti della squadra. Quali sono le città di provenienza? Quali i corsi di studio di provenienza?

Ricordiamo ai nostri lettori che i componenti della squadra vengono dal percorso di formazione CyberChallenge.IT, organizzato dal Laboratorio Nazionale Cybersecurity del CINI, che ha visto inizialmente 20 ragazzi formarsi in ciascuna delle 18 sedi universitarie partecipanti. Terminato il periodo di formazione, ciascuna sede ha selezionato quattro ragazzi per formare la squadra locale che ha partecipato alla finale nazionale a Chiavari, lo scorso 27 Giugno.

Grazie alla finale nazionale è stato possibile formare il team nazionale.

Il team è composto da dieci ragazzi che provengono da diverse realtà italiane.

Andrea Biondo (il capitano) e Riccardo Bonafede sono due studenti dell’Università degli studi di Padova. Il primo vive a Cassier (Treviso) ed è attualmente iscritto alla Magistrale in Informatica, mentre il secondo viene da Padova e sta completando la Triennale in Ingegneria Informatica. Sempre dal Veneto arriva Antonio Groza, che vive a Mirano (Venezia) e dopo essersi diplomato nel 2018 all’ITIS Levi Ponti ha deciso di intraprendere direttamente una carriera professionale.

Marco Bonelli, Andrea Laisa e Samuele Turci studiano a Milano. Marco viene da Terni e frequenta la triennale in Ingegneria Informatica presso il Politecnico di Milano. Andrea invece viene da Bergamo, studia sempre al Politecnico di Milano ma è iscritto alla triennale in Informatica. Infine, Samuele viene da Gatteo (Forlì-Cesena) ed è iscritto alla triennale in Informatica presso l’Università degli Studi di Milano.

A Roma studiano tre partecipanti del team: Qian Matteo Chen, Dario Petrillo e Michele Lizzit. Matteo vive a Roma ed è uno studente triennale di Informatica presso l’Università La Sapienza di Roma. Anche Dario vive a Roma e studia alla Sapienza, ma frequenta la triennale di Ingegneria Informatica. Infine, Michele vive a Pasian di Prato (Udine) e frequenta la Triennale in Management and Computer Science presso la Libera Università Internazionale degli Studi Sociali (LUISS) Guido Carli.

Scendendo geograficamente ancora più a sud, Davide Palma studia alla triennale di Informatica dell’Università degli studi di Bari e vive a Apricena (Foggia).

Con quale criterio sono stati selezionati i componenti della squadra nazionale a partire dai partecipanti alla finale?

Il pool di scelta era composto dai partecipanti di CyberChallenge.IT del 2019, ma anche degli anni precedenti. L’iniziativa è stata molto efficace e ha introdotto a questo tipo di competizioni molti giovani capaci, che nel tempo sono migliorati tanto fino ad arrivare a competere ai massimi livelli nonostante la loro giovane età. Scegliere non è stato facile, ci sono molti ragazzi in gamba, ma alcuni vincoli sulla composizione della squadra presenti nel regolamento della competizione hanno semplificato questa scelta. 
Tutti e 10 i giocatori devono avere meno di 25 anni, e 5 di loro devono essere sotto i 20 anni. Ci sono tantissimi ragazzi bravi con meno di 25 anni. Meno, invece, per quanto riguarda la fascia fino ai 20. Questo regolamento divide fondamentalmente la squadra in due quote: Senior (21-25) e Junior (minori di 20 anni). Abbiamo quindi realizzato due classifiche, una per i Senior e una per i Junior, in cui abbiamo valutato le prestazioni dei candidati negli eventi passati. In particolare, abbiamo valutato la prova locale, cioè la sfida individuale che ogni partecipante di CyberChallenge.IT ha affrontato alla fine del percorso di formazione, la competizione nazionale, che si svolge a squadre fra le varie sedi, ma anche competizioni esterne a cui diversi membri del team finali hanno preso parte. Il risultato è stato un team formidabile e il posizionamento al secondo posto ne è la conferma.

A questo punto passiamo alla fase di allenamento e di costruzione del vero e proprio "gioco di squadra". Come avete gestito la diversa provenienza geografica e di formazione di base?

L’allenatore ha selezionato i partecipanti scegliendo, di proposito, una formazione eterogenea, essenziale per essere pronti ad affrontare ogni tipo di sfida. La diversa provenienza geografica, invece, è stata mitigata organizzando, a metà settembre, un ritiro di quattro giorni presso la Scuola IMT Alti Studi di Lucca. Lì i ragazzi hanno avuto modo di conoscersi, formando una squadra vera e propria, grazie a varie attività di gruppo. Fra queste, anche attività non strettamente legate all’informatica, ma non meno importanti, quali, per esempio, ripresa e montaggio del video, goliardico, di presentazione della squadra e birrate serali.

Potete raccontarci come si è organizzata la squadra in termini di divisione dei compiti? E’ stato nominato un capo o è emerso un leader spontaneo? Sicuramente questo aspetto è strettamente legato al tipo di competizione. Potete darci una breve descrizione della modalità di gioco?

Grazie al raduno di Lucca, il team è stato in grado di identificare le competenze che ogni membro del team poteva mettere a disposizione ai fini della competizione.

Come capitano della squadra, abbiamo immediatamente visto in Andrea Biondo il migliore candidato: parte del team che ha vinto CyberChallenge.IT 2018, membro dei team CTF Spritzers e mHACKeroni, membro della nazionale per ECSC nel 2018 e anche co-autore di articoli scientifici in conferenze di rilievo nell’ambito della cybersecurity.

La competizione si è svolta in due giornate seguendo un format jeopardy, in cui i team devono risolvere delle challenge per ottenere dei punti. Ogni challenge può essere vista come una sfida informatica, sia software che hardware, che replica uno scenario reale ma in un contesto isolato, permettendo ai ragazzi di divertirsi senza fare danni nel mondo reale. Esempi concreti di queste sfide possono essere dei portali web in cui occorre ottenere accesso amministrativo oppure dei sistemi embedded su cui identificare delle falle per far eseguire azioni non autorizzate.

Le 36 challenge preparate dagli organizzatori rumeni sono state egualmente divise fra i due giorni di gara, non permettendo ai ragazzi di risolvere challenge del primo giorno durante la seconda giornata. Il punteggio di ogni challenge è stato ottenuto in modo dinamico: tale meccanismo evita di dover assegnare un punteggio a priori in base alla difficoltà stimata (sempre molto difficile da valutare).

Oltre alle challenge hardware e software, gli organizzatori hanno assegnato ulteriori punti in base alla capacità dei vari team di: (a) superare una escape room caratterizzata da sfide hardware entro un tempo massimo di 30 minuti, (b) presentare in 5 minuti la soluzione di una delle challenge risolte ad una giuria composta da non esperti.

Durante le ultime due ore di gara, la scoreboard con i punteggi è stata oscurata, in attesa della premiazione avvenuta la sera del giorno dopo.

E ora veniamo ai momenti di gara, divisa in tre giornate. Potete descriverci quali sono state le emozioni provate dalla squadra durante le giornate? L'Italia già dalla seconda parte della prima giornata faceva parte del gruppo di testa, conquistando anche il primo posto in diverse fasi della gara. Come sono stati vissuti questi momenti?

Quale è stato l'aspetto più difficile della gara? Quale quello che vi ha dato più soddisfazione?

All’inizio eravamo tutti molto emozionati ma, una volta che abbiamo iniziato ad affrontare le varie sfide, la concentrazione era tale da non farci pensare molto ad altro.

Alcune challenge hanno richiesto diverse ore e il lavoro congiunto di vari membri, un po’ per difficoltà tecniche, un po’ perché non era chiarissimo cosa si doveva fare e la comunicazione con gli organizzatori era a volte difficoltosa. Chiaramente, rimanere bloccati per ore su una sfida può essere estremamente frustrante ma, come si dice, chi la dura la vince, e alla fine siamo riusciti a risolverne molte. Far parte del gruppo di testa fin da subito ci ha creato un po’ di tensione, ma ogni sfida risolta ci ha dato una grande carica e fiducia in noi stessi, che ci hanno aiutato a mantenere la grinta per tutte quelle ore.

Il team ha funzionato molto bene e questo aspetto ha dato i suoi frutti, portandoci in alto in classifica. È questo, probabilmente, l’aspetto che ci ha dato più soddisfazione.

Ora che la gara è terminata portando a casa il secondo posto, quali sono i riflessi di questa esperienza che avranno sicuramente un effetto nelle vostre attività future nel campo della didattica e della ricerca? Qualcuno dei ragazzi ha pensato di lanciarsi nel lavoro con una start-up? Quando pensano al loro futuro si vedono in Italia o all'estero?

Faremo sicuramente tesoro di questa esperienza; alcuni ragazzi hanno già esperienze lavorative e stanno considerando anche la possibilità di lanciarsi in qualche startup. Altri puntano invece ad attività di ricerca: c’è chi pensa a un dottorato e chi invece vorrebbe entrare a far parte del settore ricerca e sviluppo di qualche grossa industria. Fortunatamente per il nostro paese, quando pensano al futuro alcuni si vedono in Italia, anche se non manca chi considera la possibilità di andare a lavorare per qualche colosso informatico dall’altra parte dell’oceano.

Per quanto riguarda la squadra, continuerà a partecipare ad altre competizioni? Cosa intendete fare per condividere la vostra esperienza coi più giovani?

Sicuramente la squadra parteciperà anche il prossimo anno a ECSC, alcuni membri supereranno il limite di età e quindi il team dovrà per forza cambiare un po’. Ma queste sono valutazioni da fare a valle della prossima edizione di CyberChallenge.IT dove ci aspettiamo, come è successo in passato, che i membri attuali del team aiutino a formare le nuove leve.

Nel frattempo, subito dopo la competizione in Romania, una grossa fetta del team è volato ad Abu Dhabi per la Hack in The Box CyberWeek, dove hanno preso parte in due competizioni diverse:

• Una parte di loro ha partecipato e vinto la “Cyber Battle of The Emirates” una competizione pensata per giovani che si affacciano al mondo dei Capture the Flag e della security più in generale.
• Un'altra parte ha invece preso parte al ProCTF come “mhackeroni”. Il ProCTF è una competizione senza restrizioni di età, e pensata per professionisti. Il Team mhackeroni è arrivato al terzo posto.

Molti dei giocatori del Team Italy, ma anche gli altri partecipanti di CyberChallenge.IT, dopo questa esperienza continuano a giocare nei team locali delle varie sedi universitarie. Queste squadre sono formate non solo da novizi, ma anche da giocatori di lunga data, che durante l’anno si sfidano in varie competizioni. Esiste una lista pubblica dei Team Italiani che hanno assorbito partecipanti di CyberChallenge.IT o che sono nati proprio dai ragazzi che hanno partecipato a questa iniziativa: https://cyberchallenge.it/ctf-teams

Uno di questi team è il team “mahckeroni” (https://mhackeroni.it/) che oramai da diversi anni partecipa al DEF CON CTF, una delle competizioni più difficili di questa categoria. Per partecipare a questa competizione bisogna qualificarsi vincendo uno degli eventi selezionati. Non ci sono restrizioni di età, numero, o professione, e a questo tipo di competizioni prendono parte anche molti professionisti del settore. E solo le migliori 16 squadre al mondo riesco a vincere un posto per la finale di Las Vegas. Diversi membri del “Team Italy” fanno parte della squadra “mhackeroni” che lo scorso Agosto si è piazzata al 5° posto di questa competizione.

Grazie per il vostro impegno, teneteci informati sulle vostre attività. Difesaonline e i suoi lettori vi sostengono. In bocca al lupo a tutti!

Giorgio Giacinto

https://europeancybersecuritychallenge.eu/

APT 32 hackera BMW e Hyundai?

E' di qualche giorno fa la notizia che degli hackers hanno colpito BMW e Hyundai.

Gli hackers si sarebbero infiltrati nella rete aziendale di BMW già da questa estate utilizzando un toolkit chiamato Cobalt Strike, utilizzato come backdoor per muoversi verso le reti dei due giganti dell'automobile e, presumibilmente, esfiltrare dati,  associato all'impiego di siti web fake. 

Nell'articolo di zdnet si lascia intendere che BMW abbia volontariamente permesso agli hacker di restare all'interno della propria rete per seguire i loro movimenti e comportamenti e cosi cercare di individuare la provenienza dell'attacco, bloccando quindi l'accesso solo a novembre. Per quanto riguarda la Hyundai non si sa praticamente niente.

Secondo quanto riportato dalle riviste tedesche Bayerischer Rundfunk e Taggesschau che per prime hanno rivelato l'accaduto, il gruppo responsabile sarebbe conosciuto con la sigla APT  32 (Advanced Persistent Threath 32) o anche Ocean Lotus che farebbe capo al governo vietnamita, cosi affermano gli esperti della German Cybersecurity Organisation (DCSO) anche se ammettono che non vi siano prove in merito. 

Il gruppo è attivo dal 2014 e sembra che negli ultimi anni abbia preso di mira in particolare le industrie del settore automobilistico. Toyota Australia, Toyota Japan e Toyota Vietnam sono state tra le vittime precedenti. 

Secondo varie fonti l'attacco si pone nel contesto della guerra industriale tra case automobilistiche.

Secondo alcune fonti gli hacker non avrebbero rubato dati sensibili e non sono riusciti nel loro intento di penetrare nelle reti della sede centrale di Monaco.

Ancora una volta l'industria è oggetto di attacchi informatici, a dimostrazione dell'interesse che il settore ha per gli hacker. Il settore automobilistico non è solo possibile fonte di dati personali degli acquirenti ma anche ben più paganti informazioni relative a segreti industriali, brevetti e eventuali difetti delle parti meccaniche, per non parlare dei danni all'immagine subiti.

Facciamo attenzione, checché se ne dica la guerra economico-industriale è sempre in corso.

E se colossi come BMW e Hyundai ne sono vittime… nessuno è al sicuro!

Cosa fare allora?

Primo: informarsi, sempre.

Secondo: formare il personale della propria società, i tecnici, i quadri e i dirigenti, ognuno al proprio livello. I dirigenti in particolare non devono fare i tecnici ma devono capire come adattare la propria organizzazione al mondo attuale e al livello di rischio cyber esistente.

Terzo: dedicare le giuste risorse al settore cyber, effettuando una attenta analisi del rischio.

Quarto: aiutare a creare una società migliore, per esempio appoggiando campagne di informazione presso le scuole. E' dalle scuole infatti che escono futuri operai, impiegati e dirigenti. 

Lasciare allo Stato il peso di cambiare la società è una utopia. L'impegno di tutti consente invece di accelerare il processo di digitalizzazione della nostra società e di ridurre i rischi.

Alessandro Rugolo

Per approfondire:

https://www.zdnet.com/article/bmw-and-hyundai-hacked-by-vietnamese-hackers-report-claims/
https://www.br.de/nachrichten/wirtschaft/fr-autoindustrie-im-visier-von-hackern-bmw-ausgespaeht,RjnLkD4
https://www.tagesschau.de/investigativ/br-recherche/bmw-hacker-101.html
https://www.technadu.com/vietnamese-hackers-apt32-hacked-hyundai-bmw/86959/
https://www.cobaltstrike.com/
https://attack.mitre.org/groups/G0050/
https://dcso.de/

L'estronauta sulla luna e il telelunofono

Torna tra noi "L'estronauta sulla luna" con una nuova serie di avventure.
La piccola Giulia a breve andrà in prima elementare. Un passaggio obbligato della nostra vita, accompagnato da tanti piccoli (e grandi) cambiamenti. Sicuramente il più importante è quello della maggiore indipendenza. Riuscirà il nostro amico Gionzo a guidare la sua piccola amica per prepararla a questa nuova avventura? Vediamolo assieme, a cominciare da questa nuova avventura intitolata...

L'estronauta sulla luna e il telelunofono

- Nonno, nonno... sono arrivata! La voce squillante della piccola Giulia annunciava l'arrivo della gioia in persona. Era sempre cosi. Appena si apriva lo sportello dell'auto parcheggiata nel cortile di fronte alla sua casa Giulia si precipitava verso l'ingresso annunciando il suo arrivo al nonno e ai vicini. Non ci si poteva sbagliare.
- Ciao piccola! Disse il nonno aprendo la porta. Giulia era già attaccata alla sua gamba e lo tirava verso l'esterno.
- Sei pronto? Sei pronto? Dobbiamo andare, il centro commerciale chiude tra un'ora e tu mi hai promesso il telelunofono, ti ricordi? La mamma e il papà di Giulia alla fine avevano ceduto. Era inutile opporsi all'infinito. Era arrivato il momento. Il nonno non aveva bisogno di parlare, leggeva sulle loro facce la preoccupazione. 
- Vieni qua piccola. Disse prendendola in braccio. Prima di andare al centro commerciale sentiamo cosa ne pensa il nostro amico Gionzo, magari ci può consigliare qualche modello particolare.
- Si dai, chiamiamolo… io voglio il nuovo modello con le antennine verdi… cosi lo collego al casco potenziato come fa Gionzo. E mentre parlava Giulia si agitava tra le braccia del nonno come fosse un'anguilla.
- Calmati piccola mia, andiamo a sederci vicino al camino che qui fa freddo. Poi chiamiamo Gionzo e vediamo che ci può consigliare… e mentre diceva queste parole, con la testa salutava i genitori di Giulia che quatti quatti uscivano di casa. Giulia ormai era al sicuro, nel mondo fantastico del suo amico Gionzo. Avrebbero potuto fare la spesa con tutta calma.
- Dunque, sentiamo che ci dice Gionzo. Disse il nonno mentre prendeva il cellulare per chiamare il suo amico. 
- Speriamo che ci sappia consigliare. Io non ne capisco tanto di queste nuove tecnologie...
- Si nonno - urlò Giulia mentre correva in cerchio sul tappeto di fronte al camino - chiamalo e chiedigli tutte queste cose sulle nuove techiologie...
- Tecnologie… Giulia, non techiologie. La corresse il nonno sapendo che la nipotina aveva una capacità incredibile di apprendere anche e soprattutto mentre correva da una parte all'altra della stanza. Era fatta cosi, non si fermava un attimo ma imparava subito!
- Allora, Gionzo, ho qui la piccola Giulia che chiede consiglio… - disse il nonno a voce alta per attirare l'attenzione della nipotina, portandosi il cellulare all'orecchio - … sui modelli di telelunofoni per bambine speciali. Ci puoi aiutare? E mentre parlava al telefono strizzava l'occhio alla piccola Giulia che si era fermata di colpo e attendeva col fiato sospeso come se dalle parole di Gionzo dipendesse la sua stessa vita...
- Si, hai capito bene, Giulia vuole un telelunofono, lei pensava al modello con le antenne verdi, tu cosa ci consigli? Il nonno parlava sicuro, deciso, ma mentre ascoltava il suo corrispondente lontano il suo viso si rabbuiava fino a quando...
- Capisco, grazie Gionzo, allora ci sentiamo più tardi, in bocca al lupo! A Giulia non era sfuggita ne una parola ne una espressione del nonno e lei stessa era diventata scura in volto, preoccupata per qualcosa che non sapeva ma che intuiva dovesse essere di una gravità assoluta.
Le ultime parole del nonno erano state decisive…
- Cosa è successo a Gionzo nonno… disse Giulia con la voce rotta dall'emozione. I suoi occhioni erano diventati umidi e si vedeva che mancava poco e si sarebbe messa a piangere. Giulia aveva capito subito che era successo qualcosa a Gionzo. 
- E' rientrato a casa vero? Non dirmi che è successo qualcosa al mio amico Giovanbattistamarialorenzo - perché, meglio ricordarlo, questo era il nome per intero di Gionzo - durante il viaggio di ritorno. Forse era la prima volta che Giulia chiamava Gionzo col suo nome completo. Il nonno la guardò in faccia, la prese tra le braccia e la fece sedere a cavallo della sua gamba che cominciò a muoversi su e giù come faceva sempre con Giulia per tranquillizzarla.
- Si, è successo qualcosa… Giulia lanciò un urlo di preoccupazione e si portò le mani alla bocca, in un gesto che non lasciava speranze. 
- Nonno, nonno, possiamo aiutarlo vero? Dimmi di si, cosa possiamo fare? Chiamiamo la polizia? Dimmi, cosa possiamo fare? Le parole erano state pronunciate tutte assieme, mischiate ad una serie di singhiozzi che facevano pena. Sembrava quasi che a parlare non fosse Giulia ma il volpesce dalle due lingue che Gionzo aveva incontrato qualche tempo prima nel corso delle sue avventure sulla luna. 
- Giulia, calmati! Disse il nonno con la faccia più seria del solito. 
- Sai bene che Gionzo è in gamba e vedrai che riuscirà ad uscirne anche questa volta. E poi ha sempre con se il suo casco potenziante e il telelunofono con cui possiamo restare in contatto e provare ad aiutarlo. Per cui calmati e asciugati gli occhi, non è piangendo che possiamo aiutare Gionzo! Le ultime parole erano state pronunciate con una fermezza che aveva convinto Giulia che il suo nonnino era il più forte nonno del mondo. Sicuramente doveva essere stato un eroe da giovane. Nella sua mente il nonno doveva aver affrontato chissà quanti draghi e salvato chissà quante principesse...
- Allora - disse il nonno - vediamo cosa possiamo fare per aiutare Gionzo. E mentre parlava si massaggiava il mento per far capire che occorreva una seria riflessione.
- Ma io non so cos'è successo. Dai nonnino, sarò forte, non piangerò, dimmi la verità, cos'è successo a Gionzo? La piccola Giulia questa volta aveva parlato con decisione, pronta a fare qualsiasi cosa per aiutare il suo amico Gionzo. Pure se si fosse trattato di raggiungerlo sulla Luna, Giulia l'avrebbe fatto. 
- Brava, così si ragiona. Aiutami ora. Portami quel quaderno e qualche pennarello che magari ci possono servire. Non aveva neanche finito la frase che già Giulia correva verso la scrivania per prendere quello che il nonno aveva chiesto e che nella sua immaginazione era una specie di arma potenziante che avrebbe aiutato a salvare il comune amico di tante avventure...
- Ecco nonno. Disse Giulia porgendo con attenzione il quaderno e i pennarelli.
- Grazie. Dunque vediamo. Come posso dirtelo. Gionzo si è perso - la faccia di Giulia divenne pallida - ma sta bene e ha già indossato il suo casco potenziante - Giulia riprese fiato, visibilmente tranquillizzata - e ci chiede di aiutarlo. Si è perso nel cyberspazio!
- Il Cibospazio!?! Disse Giulia non avendo la più pallida idea di cosa potesse significare quella parola mai sentita prima… E proprio mentre stava per chiedere spiegazioni, e sarebbero dovute essere convincenti. Qualcuno suonò il campanello...
Giulia, super eccitata saltò giù dalle gambe del nonno e corse alla porta. Si mise in punta di piedi per vedere dallo spioncino chi veniva ad interrompere il loro momento magico...
- Francesco !!! Urlò con gioia, e senza attendere, guardato il nonno per ricevere l'autorizzazione, aprì la porta. Francesco era il suo cugino preferito. Era grande lui, aveva almeno dieci anni, forse anche di più… e a lei piaceva giocare con Francesco. Il telelunofono avrebbe potuto aspettare, pensò Giulia, tanto Gionzo non era veramente in pericolo… col suo casco potenziante e con l'aiuto del nonno avrebbe sicuramente risolto i suoi problemi e sarebbe riuscito a ritornare sulla Terra, dalla sua famiglia numerosa che lo attendeva...

Alessandro Rugolo