Alfonso Maruccia
giovedì 4 settembre 2008

Botnet, che passione

Si sta verificando una vera e propria esplosione di PC zombi avviluppati nelle botnet. Anche senza l'avvento di nuovi malware. La colpa? Gli attacchi ai database SQL

Roma - Il business delle botnet entra in una fase espansiva basata non più sulla proliferazione di reti malevole bensì sulla crescita esponenziale dei bot infetti e controllati da remoto.

È quanto emerge dalle ultime statistiche pubblicate da Shadowserver Foundation: negli ultimi mesi il numero di botnet è calato ma le macchine complessivamente coinvolte sono quadruplicate. Eppure non si è registrato l'avvento di malware capaci di agire su larga scala come il cosiddetto storm worm.

John Bambenek, in forze allo Internet Storm Center del SANS institute, ipotizza che la nuova fase del cyber-scam possa essere riconducibile non a qualche rootkit "invisibile" sul modello di Rustock.C ma a un aumento degli attacchi ai server web basati su SQL injection. La proliferazione su larga scala di questo genere di attacchi ha portato alla compromissione di centinaia di migliaia di singole pagine web, usate poi come vettore per l'installazione di malware sui PC zombi.L'ipotesi di Bambenek necessita a ogni modo di ulteriori verifiche, come lo stesso esperto suggerisce, perché le honeypot pensate per catturare gli attacchi web puri non sono così diffuse e raffinate come quelle dedicate alla cattura di malware tradizionali quali trojan, worm e affini.

"È uno degli svantaggi di trovarsi a operare reagendo all'operato di altri - ammette l'esperto del SANS - nei giochi di potere saremo sempre indietro finché non riusciremo a stare al passo" con i bravi ragazzi del cyber-crime.

Alfonso Maruccia
40 Commenti alla Notizia Botnet, che passione
Ordina
  • si ok la sql injection

    a parte che, e non voglio fare polemica, ad essere coinvolto guarda caso è sempre Windows sia in versione desktop che server

    ma qui si parla di botnet quadruplicate e le botnet vivono al 90% sui PC non sui server

    ok è vero che ci sono siti web infettati che sparano malware ma la colpa alla fin fine dipende sempre dal software installato sui PC che permette a questi siti web di installare il malware

    i pirati hanno solo trovato un nuovo modo di distribuire il malware questo però non ci autorizza a scaricare la colpa sui server, tanto alla fine loro sono solo il veicolo del malware non certo la destinazione finale
    non+autenticato
  • questo è vero, però non è che un server esposto a sql injection sia una bella cosa di per se!
  • Soprattutto in considerazione di cosa puoi fare una volta avuto accesso ai DB...
    H5N1
    1610
  • sì intendevo proprio questo
  • Molte tecniche SQL Injection non sono in grado di recuperare la password di amministratore, ma possono permettere di agire come tale (quindi senza escalation).
    Il che dice tutto...
    -----------------------------------------------------------
    Modificato dall' autore il 04 settembre 2008 13.04
    -----------------------------------------------------------
    H5N1
    1610
  • qui però si parla di modificare le pagine, a seconda del setup del server può bastare il livello d' accesso del server, che non necessariamente deve essere per forza root/amministratore
  • Il principio non cambia.
    Mettiamo anche il caso che, attraverso del codice inserito, si riesca ad effettuare un XSS o un redirect su una pagina infetta comunque si deve prevedere che l'accoppiamento "browser/sistema operativo" sia vulnerabile ad inoculazioni di vario tipo (silent install di ActiveX, per esempio).
    Altrimenti niente da fare.
    H5N1
    1610
  • sotto windows di solito i db girano come system, quindi uberpotenti. Una volta preso possesso del db, la macchina e' alla merce' dell'iniettore^^
    non+autenticato
  • non sono convinto, nel senso che tramite sql injection un conto è prendere possesso dell' applicazione che gira sul server web (relativamente facile), un altro è prendere possesso del processo che fa girare l' application server o il db (oltre all' sql injection ci vorrebbe anche una qualche vulnerabilità di tipo buffer overflow o simile nel server stesso, cosa possibile ma meno probabile).
    Poi certo che se tale processo gira come amministratore allora a quel punto la frittata è fatta.
  • C'è anche la possibilità che il server SQL possa eseguire script nelle query o stored procedure.
    non+autenticato
  • Non serve avere privilegi di system/root nel db se riesci a fare un update/insert sulle tabelle dell'applicazione web che comporta l'inserimento sulle pagine html il caricamento di un javascript ha veicolato il suo virus. Naturalmente il SO deve avere dei bug, ma quanto è difficile trovare computer che non sono vulnerabili?
    Leggete ad esempio questo http://www.bigthink.it/virus/il-web-sotto-attacco-.../
    non+autenticato
  • oggi non ho capito nienteTriste
    non+autenticato
  • - Scritto da: Dodie
    > oggi non ho capito nienteTriste

    vuol dire che da quando c'è sVista in giro il numero dei PC zombie è quadruplicato

    alla faccia della pseudo sicurezza di sVista
    non+autenticato
  • penso di avere espresso alla nausea il fatto che vista mi fa schifo, però qui cosa c' entra? Si parla di numero di attacchi aumentati a causa della sql injection, non del fatto che vista sia più vulnerabile ai trojan installabili da pagina web...
  • Secondo me quello che intendeva dire è che se il sistema che visita il sito non è vulnerabile, puoi iniettare tutto il codice nocivo di questo mondo sui server web vulnerabili senza per questo diffondere alcunchè.
    H5N1
    1610
  • una sql injection può colpire anche un server unix blindatissimo. Aspettiamo cosa ne dice l' OP in ogni caso
  • Ovvio, ma anche in questo caso la proliferazione avviene attraverso i client visitatori del sito.
    H5N1
    1610
  • non sono sicuro che il servizio parli di questo; il veicolo di infezione in questo caso è il server. Il client è solo la "vittima" finale.
  • E difatti, secondo me, l'articolo è incompleto o, quantomeno, non molto chiaro.
    H5N1
    1610
  • In aggiunta, riprendo dall'articolo
    "La proliferazione su larga scala di questo genere di attacchi ha portato alla compromissione di centinaia di migliaia di singole pagine web, usate poi come vettore per l'installazione di malware sui PC zombi."
    Vedo difficile far partire trombami.exe su linuxSorride
    H5N1
    1610
  • - Scritto da: pentolino
    > una sql injection può colpire anche un server
    > unix blindatissimo. Aspettiamo cosa ne dice l' OP
    > in ogni
    > caso

    certo ma guarda il numero di incidenti occorsi a MySQL e a SQL Server....o nessuno è interessato a MySQL o MySQL è poco diffuso ( ma non mi pare ) oppure MySQL è molto più robusto tanto da scoraggiare il grosso dei cybercrooks

    poi c'è quel piccolo problemino ( che in realtà sarebbe una feature ) di poter legare più statements SQL tramite il ; in SQL Server....questa piccola feature è la panacea che simplifica di due ordini di grandezza gli attacchi basati su sql injection

    perchè diavolo non eliminano questa caratteristica così ci risparmiamo un mucchio di server compromessi?
    non+autenticato
  • - Scritto da: pentolino
    > penso di avere espresso alla nausea il fatto che
    > vista mi fa schifo, però qui cosa c' entra? Si
    > parla di numero di attacchi aumentati a causa
    > della sql injection, non del fatto che vista sia
    > più vulnerabile ai trojan installabili da pagina
    > web...

    questo però vuol dire che MS ha preso di nuovo tutti per i fondelli

    il punto è che MS con lo share che ha rappresenta un grande problema per la sicurezza e siccome loro la prendono alla leggera alla fine ci ritroviamo con questi casini

    e poi tocca a noi altri quando i server sono intasati da DDOS fare qualcosa e ti arriva il manager che non sa nulla e vuole sapere come mai e perchè non si fa nulla, ecc... ecc...
    non+autenticato
  • La SQL injection è evitabile con accorgimenti quasi banali nella maggior parte dei casi, basta essere consci del problema; ma fintanto che si inseguirà per forza il prezzo più basso si continuerà a far creare i siti a gente spesso incompetente e questo è il risultato.

    Grazie di cuore
  • - Scritto da: pentolino
    > La SQL injection è evitabile con accorgimenti
    > quasi banali nella maggior parte dei casi, basta
    > essere consci del problema; ma fintanto che si
    > inseguirà per forza il prezzo più basso si
    > continuerà a far creare i siti a gente spesso
    > incompetente e questo è il
    > risultato.
    >
    > Grazie di cuore

    si d'accordo la sql injection ma qui il punto è che quei bot vivono nei PC non nei server

    il problema è sempre lo stesso e si chiama Windows....sVista suonò la fanfara gridando che era invulnerabile, tre mesi dopo l'uscita della prima RC avevano già trovato un modo per bypassare la protezione dei processi

    e il risultato adesso è questo
    non+autenticato
  • indubbiamente la diffusione di windows non fa che peggiorare drasticamente il problema.
    E aggiungerei che anche il discorso "grande diffusione di windows" fa parte del concetto generale di "informatica un tanto al chilo"; ho avuto modo di vedere come in un' azienda quasi tutti i problemi di infrastruttura informatica fossero dovuti all' uso di server windows, fenomeno dovuto a sua volta al fatto che i sistemisti erano del caibro "punta e clicca" e dunque non in grado di gestire un server serio.

    A scanso di trollate tutto quello che scrivo non è verità rivelata ma opinione personale; io la vedo così, altri sono liberi di vederla diversamente senza problemi.
  • >
    > A scanso di trollate tutto quello che scrivo non
    > è verità rivelata ma opinione personale; io la
    > vedo così, altri sono liberi di vederla
    > diversamente senza
    > problemi.
    guarda... la questione 'informatica tanto al kg' e 'windows/punta e clicka' credo siano opinioni di TUTTI quelli che lavorano nell'informatica da un po (=almeno 10 anni)
    non+autenticato
  • certo, ovviamente se uno la pensa come me a riguardo è altrettanto libero di "quotare" Sorride
  • È per questo che alcuni domini di banche italiane stanno mandando mail a mezza italia, dirottando la gente su siti strani?
    Che tristezza...
  • Al 99% non sono le banche ad inviare tali email di tipo "scam".

    Semplicemente email il cui "From:" é stato creato ad hoc.
    Ed il contenuto pure. Tutto dipende dai controlli che il mail server originante dispone per evitare che qualcuno invii posta *almeno* da domini NON gestiti dal mailserver stesso.

    Ossia si ricade nel baratro dello spam Occhiolino
    non+autenticato
  • TrollTroll occhiolinoTroll chiacchieroneTroll occhi di fuoriTroll di tutti i colori

    - Scritto da: Il Detrattore
    > chissa'....
    non+autenticato
  • - Scritto da: Il Detrattore
    > chissa'....

    Annoiato
    ti pare che non c'abbiamo provato, in ogni angolo ed in ogni form?
    non+autenticato
  • rimane sempre il social engineering.
    non+autenticato
CONTINUA A LEGGERE I COMMENTI
Successiva
(pagina 1/2 - 6 discussioni)
 

La soluzione ideale per Worry-Free Business Security 7.

Twitter Begins

Twitter Begins

Una guida su Twitter, il servizio di microblogging che sta conquistando tutti anche in Italia. Scritta con un linguaggio semplice e alla portata di tutti, mette in evidenza i punti [...]