Luca Annunziata

Sono stata hackata!

Una falla di Quicktime si ripercuote su Second Life. Rende gli avatar vulnerabili al borseggio. In attesa di una patch, attenzione ai video nel metamondo

Roma - Tasche vuote su Second Life. È questo il consiglio spassionato di due esperti di web-security, Dino Dai Zovi e Charlie Miller, autori di una scoperta interessante: grazie ad una falla emersa la scorsa settimana nel codice di QuickTime, un avatar a passeggio per il metamondo potrebbe essere ripulito dei linden dollars che porta con sé.

L'exploit è piuttosto insidioso. Dentro Second Life è possibile integrare video nella struttura di abitazioni e gadget realizzati dagli utenti: i filmati vengono riprodotti attraverso QuickTime e, per essere caricati, il programma rimanda ad un sito remoto diverso dai server di Linden Labs. Se il sito remoto è realizzato in modo tale da sfruttare la vulnerabilità del player multimediale Apple, l'attaccante può prendere il controllo dell'intero computer della vittima o, più semplicemente, del suo avatar.

Per attivare la trappola, non occorre fare altro che andarsene a spasso per Second Life: qualunque oggetto potrebbe nascondere l'insidioso trucchetto, e basta soltanto avvicinarvisi per far partire il filmato e finire tra le grinfie dei malintenzionati. Per mostrare il problema, i due scopritori hanno realizzato uno script di esempio e un piccolo video.


La vittima, l'avatar chiamato Sussy McBride, si limita a camminare nelle vicinanze di un cubetto viola: improvvisamente si blocca e 12 linden dollar finiscono nelle tasche del cattivone, in questo caso l'avatar chiamato Pwned Naglo. A Sussy non resta altro da fare che urlare "sono stata hackata", e rimpiangere di non aver disattivato l'esecuzione automatica dei filmati nel pannello preferenze dell'interfaccia di Second Life.

Linden Labs è stata già informata del problema, ma fino a quando non sarà stata tappata la falla su QuickTime non c'è molto che possa fare. Il consiglio è dunque quello di non portarsi dietro molto contante mentre si passeggia nel mondo virtuale: i creatori di Second Life non risponderanno di furti e borseggi.

Luca Annunziata
27 Commenti alla Notizia Sono stata hackata!
Ordina
  • In realta' per essere al riparo da questo exploit e' sufficiente disattivare la visualizzazione dei video, e non e' assolutamente necessario "evitare di portarsi dietro molto contante".

    L'exploit funziona solo per Mac e Windows, mentre il client Linux si basa su GStreamer e non vi sono problemi.
    non+autenticato
  • Quicktime è un buco vivente...Quando si metteranno a lavorare sul loro player seriamente alla Apple?
    non+autenticato
  • Dai su e' un MMORPG come gli altri con alcune piccole differenze (che anche gli altri hanno fra di loro).
    Perche' di questo se ne parla dappertutto e degli altri no?
    Perche' non scrivete anche articoli sui PK di Ultima Online o sui problemi di World of Warcraft?

    C'e' sta Lindel Lab che ha investito milioni in pubblicita' e ci girano molti soldi.. basta.
    Secondo me di ste cose proprio non si dovrebbe parlare in riviste come questa
    non+autenticato
  • mi sono registrato 2 volte e non sono mai riuscito ad entrare Triste
    come se non bastasse non posso manco scegliermi un nome decente, chiamarlo MMORPG e' un'offesa per tutti gli sviluppatori seri che si fanno un mazzo tanto Con la lingua fuori
  • - Scritto da: Max3D
    > mi sono registrato 2 volte e non sono mai
    > riuscito ad entrare
    >Triste

    si', capita di frequente quando il proprio computer ha specifiche inferiori a quelle indicate per second life.

    > come se non bastasse non posso manco scegliermi
    > un nome decente

    sinceramente non mi pare un grosso problema
    Sorride

    > chiamarlo MMORPG e' un'offesa

    e' sicuramente improprio,
    dato che non vi e' una storia di base delineata dai creatori di second life, come dovrebbe essere per poterlo chiamare MMORPG.

    > per tutti gli sviluppatori seri che si fanno un
    > mazzo tanto

    ho il sospetto che tu non sappia nulla del software e dell'architettura alla base di second life... A bocca aperta
    non+autenticato
  • - Scritto da: exio
    > Dai su e' un MMORPG come gli altri con alcune
    > piccole differenze (che anche gli altri hanno fra
    > di
    > loro).

    non è un MMORPG, è una chat 3d.
    (già questo basta per cestinare il tutto, imho)

    > Perche' di questo se ne parla dappertutto e degli
    > altri
    > no?

    $$$

    > Perche' non scrivete anche articoli sui PK di
    > Ultima Online o sui problemi di World of
    > Warcraft?

    perchè sono MMORPG.
    (cioè cose che per natura sono disadatte alle femmine. 1+1=2 e $$$=f() se ne deduce che... )

    > C'e' sta Lindel Lab che ha investito milioni in
    > pubblicita' e ci girano molti soldi..
    > basta.

    forse ci girano tanti soldi.
    e in una sola direzione, sicuramente:
    verso LLab.

    > Secondo me di ste cose proprio non si dovrebbe
    > parlare in riviste come
    > questa

    QUOTO E SOTTOSCRIVO:
    fuori SL dalle testate che si considerano serie
    (perchè non parlare della chat di libero allora? o di quella del sito fungirl "bollicine"? o di quella di xdz.to ? o di tutti gli Nmila canali IRC? o di...? o di....?)
  • - Scritto da: anonimo01
    > - Scritto da: exio
    > > Dai su e' un MMORPG come gli altri con alcune
    > > piccole differenze (che anche gli altri hanno
    > fra
    > > di
    > > loro).
    >
    > non è un MMORPG, è una chat 3d.
    > (già questo basta per cestinare il tutto, imho)

    ridurre SL a 'chat' e' invece sufficiente a cestinare il tuo commento: tanto per dire, in una chat
    - non puoi costruire oggetti
    - non puoi scambiarli
    - non puoi programmarli
    - non puoi creare un business basato sui prodotti che realizzi all'interno della chat
    non+autenticato
  • Sono d'accordo con te. Io l'ho provato solo una volta e mi è sembrato un obbrobrio! Molto meglio Ultima Online o WOW: sono anni luce più avanti rispetto SL.

    Ciauz!
    non+autenticato
  • - Scritto da: Baby
    > Sono d'accordo con te. Io l'ho provato solo una
    > volta e mi è sembrato un obbrobrio! Molto meglio
    > Ultima Online o WOW: sono anni luce più avanti
    > rispetto
    > SL.

    potrebbero essere avanti se la direzione fosse la stessa.

    se ci si ferma a guardare i pupazzetti, non si colgono le potenzialita' di SL che la rendono differente (non 'migliore' o 'peggiore' di Ultima Online o WOW).
    non+autenticato
  • avete ragione ho sbagliato a chiamarlo MMORPG.. perdono!!
    l'ho sopravvalutatoA bocca aperta
    non+autenticato
  • non è un mmorpg....
    Sgabbio
    26178
  • Io ci sono stato solo x osservare quanto la gente sia strana x non dire malata di certe cose... inutile dire che dopo 10 minuti l'ho chiuso sbadigliando...A bocca aperta

    ps.

    Sempre massimo rispetto x chi riesce a creare un business dalla polvere, ma io sono allergico!Con la lingua fuori
    non+autenticato
  • - Scritto da: NoFuture
    > Io ci sono stato solo x osservare quanto la gente
    > sia strana x non dire malata di certe cose...
    > inutile dire che dopo 10 minuti l'ho chiuso
    > sbadigliando...

    immagino.
    infatti secondo me ci vogliono almeno 5-10 ore di utilizzo per avere un'idea delle varie potenzialita' di SL.
    non+autenticato
  • Avete voluta una seconda vita virtuale... nella prima ci stavano anche i borseggiatoriSorride

    Anche se, vista la dinamica (in pratica il tizio forza il sistema a prelevarle i dindi) sembrerebbe più simile agli assicuratori o ai family bankerA bocca aperta
    non+autenticato
  • Ennesima trovata pubblicitaria di un mondo virtuale che oramai sta scomparendo ?
  • - Scritto da: picchiatello
    > Ennesima trovata pubblicitaria di un mondo
    > virtuale che oramai sta scomparendo
    > ?

    Ti pare che raccontare come perdi soldi e come sia insicuro SL sia pubblicita'? Ti pare che adesso ci tufferemo in massa su SL per farci rubare soldi?
    non+autenticato
  • Considerando il crollo degli ultimi 2 mesi vedrai che prolifereranno notizie su SL settimanalmente.Occhiolino
    non+autenticato
  • - Scritto da: nonsenepuop iu
    > Considerando il crollo degli ultimi 2 mesi vedrai
    > che prolifereranno notizie su SL settimanalmente.
    >Occhiolino

    ;)Occhiolino

    non c'e' stato nessun crollo.
    non+autenticato
  • > Ennesima trovata pubblicitaria di un mondo
    > virtuale che oramai sta scomparendo
    > ?
    Pubblicità al player applz colabrodo?A bocca aperta
    non+autenticato
  • quicktime è il programma peggiore che puoi trovarti su un pc con windows... e si che la apple ha dovuto mettersi d'impegno per battere mamma m$
    non+autenticato
  • > quicktime è il programma peggiore che puoi
    > trovarti su un pc con windows... e si che la
    > apple ha dovuto mettersi d'impegno per battere
    > mamma
    > m$
    E ci sono riusciti benissimoA bocca aperta
    P.S. leggiti questo:
    http://www.pcmag.com/article2/0,2704,2223921,00.as...
    non+autenticato
  • - Scritto da: pippo
    > > quicktime è il programma peggiore che puoi
    > > trovarti su un pc con windows... e si che la
    > > apple ha dovuto mettersi d'impegno per battere
    > > mamma
    > > m$
    > E ci sono riusciti benissimoA bocca aperta
    > P.S. leggiti questo:
    > http://www.pcmag.com/article2/0,2704,2223921,00.as

    plonk, un articolo meno fuddoso, no? Annoiato
    no aspè, dovevo ancora leggere il nick...

    si si, hai ragione, si A bocca aperta
  • > > P.S. leggiti questo:
    > >
    > http://www.pcmag.com/article2/0,2704,2223921,00.as
    >
    > plonk, un articolo meno fuddoso, no?
    > no aspè, dovevo ancora leggere il nick...
    >
    > si si, hai ragione, si
    Se non sai l'inglese, e non sai chi sono questi...Deluso
    non+autenticato
  • - Scritto da: rock3r
    > quicktime è il programma peggiore che puoi
    > trovarti su un pc con windows... e si che la
    > apple ha dovuto mettersi d'impegno per battere
    > mamma
    > m$

    nulla da eccepire.

    Fan AppleFan LinuxFan Amiga
  • - Scritto da: picchiatello
    > Ennesima trovata pubblicitaria di un mondo
    > virtuale che oramai sta scomparendo

    scomparendo?
    direi di no, Second Life sta facendo netti progressi...ci arriverai fra qualche anno.
    non+autenticato