Vulnerabilità nel formato PDF

Di recente è stata pubblicata la notizia relativa all'esistenza di un probabile bug nel formato Adobe PDF che permetterebbe di nascondere all'interno di questi documenti un codice javascript, provocandone l'esecuzione automatica.

La vulnerabilità è stata definita critica in quanto concernente uno dei formati documentali maggiormente diffusi al mondo, spesso veicolo di informazioni di grande importanza e riservatezza all'interno delle aziende e non soltanto.

L'attacco sembrerebbe interessare principalmente i client Acrobat 7.x e 8x delle piattaforme Windows XP/2003 e, forse, anche altri tipi di reader abbastanza popolari come FoxitReader.

Non sono stati divulgati finora codici di exploit e la Adobe è stata interessata direttamente del problema al quale si sta interessando.

Fonte: Punto Informatico

Analisi della cache prefetch di Windows XP: considerazioni e strumenti

Windows XP/2003 possiedono una caratteristica integrata chiamata "Prefetch cache" utilizzata per accelerare i processi durante il boot e l'esecuzione delle applicazioni.

Tale caratteristica può rivelarsi utile durante un indagine di natura forense che coinvolga sistemi di questo tipo ed i suoi parametri di funzionamento vengono controllati mediante la seguente chiave del registry:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameter

La cache è organizzata in una cartella chiamata Prefetch, residente all'interno della %windir% e contenente un numero variabile di file (fino a 128) con estensione .pf.
Ogni volta che una applicazione viene mandata in esecuzione il sistema aggiorna o crea la corrispondente entry nella cartella citata.

Ognuno di questi file contiene delle stringhe in formato Unicode che possono fare riferimento ai vari moduli acceduti durante l'esecuzione dell'applicazione.
Inoltre, cosa altrettanto importante, ogni file memorizza un contatore che indica il numero di volte in cui l'applicazione è stata eseguita ed un valore temporale a 64 bit (formato UTC) che esprime la data della più recente esecuzione dell'applicazione (aprendo il file con un qualsiasi editor esadecimale è possibile rinvenire l'informazione del primo tipo all'offset 144 e quella del secondo tipo all'offset 120).

L'analisi di queste informazioni può dunque essere utile per desumere preziose informazioni circa l'esecuzione di particolari attività nel sistema in un dato momento temporale.
Purtroppo però il mantenimento di tali file non avviene su base utente ma globalmente a livello di sistema per cui è necessario che i dati così riscontrati siano messi in correlazione con altre informazioni del sistema stesso.

In ogni caso per agevolare il recupero ed il repertamento di tali informazioni possiamo usare un tool, gratuito per uso privato e commerciale, chiamato Windows File Analyzer, disponibile all'indirizzo http://www.mitec.cz/wfa.html.

Si tratta di una applicazione sviluppata per l'analisi e la decodifica di alcuni file speciali utilizzati dai sistemi Windows tra i quali, appunto, i file prefetch di cui vengono visualizzate le informazioni relative all'applicazione, alla data di creazione, alla data di ultimo accesso, al numero di esecuzioni.
Per ciascun file viene inoltre calcolato l'hash MD5 ed è possibile produrre un report della lista.

Allestire un ambiente per l'analisi del malware: requisiti di base

Con questo primo post diamo vita ad una serie di interventi finalizzati ad individuare e valutare le caratteristiche dei possibili strumenti software e delle risorse utili per allestire un ambiente dedicato all'analisi del malware.

Innanzitutto tale ambiente dovrebbe soddisfare una serie importanti requisiti, quali:

• sicurezza: deve essere possibile effettuare una analisi statica e/o dinamica del codice maligno, senza che ciò comporti la definitiva compromissione della integrità dell'ambiente ed impedendo la propagazione del codice all'esterno di quest'ultimo.
  
• affidabilità: gli strumenti da utilizzare dovrebbero essere affidabili e rendere perciò possibile una analisi esaustiva del codice maligno.
  
• interoperabilità: gli strumenti da utilizzare dovrebbero essere, possibilmente, multipiattaforma permettendo il loro utilizzo in sistemi operativi differenti (Windows, Linux, ecc...).
  
• costi: ove possibile gli strumenti prescelti dovrebbero essere rilasciati con licenza freeware o, meglio ancora, open source. In questo modo diventa possibile, da un lato, limitare i costi associati con l'acquisto ed il mantenimento delle licenze e, dall'altro, nel caso in cui sia necessario, apportare modifiche e personalizzazioni al codice sorgente.
  

Partendo dal primo punto, la sicurezza oggi si presta ad essere soddisfatta, principalmente, mediante il ricorso ai cd. software di virtualizzazione che consentono di eseguire, all'interno di un determinato sistema operativo (host), più istanze di sistemi differenti, emulando le risorse hardware tipiche di una architettura.

Anche se l'utilizzo di questi software non è completamente privo di problemi, va detto, infatti, che essi si prestano in modo particolare a questi utilizzi, in virtù di alcune loro caratteristiche funzionali come la possibilità di vincolare l'esecuzione del sistema all'interno di un ambiente di rete confinato (contenimento), nonchè la possibilità di essere facilmente ripristinati nel caso di una loro compromissione.

Infine, oltre agli strumenti di virtualizzazione citati, nell'ambiente da precostituire dovrebbero essere presenti ulteriori categorie funzionali di software di cui indichiamo, a titolo esemplificativo, le più importanti:

• utilità: scompattatori, unpacker, decifratori, strumenti per l'identificazione di contenuti steganografici, strumenti per la creazione di hash, ecc...
  
• analisi statica degli eseguibili: disassemblatori, editor esadecimali, analizzatori di stringhe, analizzatori di risorse, ecc...
  
• analisi dinamica degli eseguibili: debugger, memory dumper, sandbox applicative, patcher, tools per il monitoraggio del filesystem e di altre componenti del sistema (ad es. Windows Registry), process viewer, ecc...
  
• analizzatori di rete e di protocollo: sniffer, emulatori di servizi di rete, honeypot, ecc...
• risorse internet: archivi pubblici di malware, motori di ricerca degli hash crittografici, reverse engineering, ecc...
  

La Cassazione si pronuncia sulla vicenda delle modifiche alle Playstation

Con una sentenza destinata a far discutere (la nr. 33768 del 3 settembre 2007) la terza sezione penale della Corte di Cassazione ha stabilito che vendere i chip di modifica delle Playstation costituisce reato ai sensi dell'art. 171 ter della legge sul diritto d'autore che punisce una serie di fattispecie consistenti nella fabbricazione, importazione, distribuzione, vendita, noleggio, cessione a qualsiasi titolo, detenzione per scopi commerciali di attrezzature, prodotti o componenti che abbiano la prevalente finalità di eludere le misure tecnologiche di protezione del diritto d'autore applicate ai supporti.
Secondo il giudizio della Suprema Corte il tenore della legge è infatti tale da ricomprendere le fattispecie di elusione e rimozione dei sistemi di protezione integrati tra supporto informatico ed apparato destinato all'utilizzo.
Ciò anche nel caso di condotte perfezionatesi prima delle modifiche apportate alla legge sul diritto d'autore con il D.Lgs. 9 Aprile 2003 n. 68, poichè tale riforma non avrebbe introdotto nell'ordinamento italiano delle nuove fattispecie ma, semplicemente, specificato e chiarito la vecchia formulazione rendendola coerente con l'evoluzione tecnologica dei diritti digitali.

Fonte: APCom