The invisible woman and the axis camera

1

This post follows the original “philosophy”377 of this blog. Sometimes, when I think about a technique or a skill I consider interesting, I also imagine a real-life scenario where this technique can be applied (and seems I’m not the only one378…).

So, why not combining technical explanations with realistic stories, avoiding the usual, and sometimes boring, article style?

An excellent example of this is the Stealing the Network379 series. Especially the first book How to Own the Box380, composed by several stand-alone episodes, mix in a perfect way commands, exploits and traffic dumps with captivating stories: an entertaining reading for both experienced non-expert audiences.

Of course I don’t consider myself as good as the authors of the series, especially when it comes to write a story in a language that is not mine. What follows is just a modest experiment, done largely for the pleasure of writing. Feel free to report any errors, grammatical or not.

If you are only interested in technical subjects, the story includes a security camera hijack via real-time image alteration, some interesting tricks with ARP packets (of which one is probably unedited), and a bit of physical penetration test.

I hope you’ll like it…

Anti-aircraft Artillery

After all, entering the internal network wasn’t difficult…

When we initially identified a WEP wireless network, we wanted to seize that low-hanging fruit and avoid direct contacts with the customer as long as possible. But the enthusiasm was short-lived.

“Aren’t you planning to crack that network, are you?” said GrayFog in a tone of disapproval, “According to the Mac address, the access point is a SonicWALL. Maybe they have maintained an obsolete encryption for backward compatibility issues, or maybe not. “
GrayFog is our remote support, the fact he’s a paranoid type by nature makes him particularly suitable for this role.
“Do you think it’s an honeypot?”  I replied. “I think nothing, my lord. But you know, Curiosity Killed The Cat…”

When he starts to quote I feel an irresistible urge to beat him, but, as we discovered later, his advice was correct. The wireless network was kept under control, and any attack would have been detected immediately381, if not actively blocked (apparently there’s a reason for the price of SonicWALL products…)

Despite this drawback, we could have tried to decrypt the traffic in a passive manner, but since network traffic was very low, it would have taken a long time. However I had an ace up my sleeve.

“Since you are in citation mode, who said ‘In battle one engages with the orthodox and gains victory through the unorthodox’?”  Just a rhetorical question… “Are you kidding? Sun Tzu, The art of war.”
“Returning to more concrete things, do you have a plan Luna?” For the first time Daniel was talking, my partner in physical operations.
“Yes, I do. But we must get our hands dirty, something low-tech.”

The no-tech way

A Oxford ho avuto modo di passare un po’ di tempo in libreria. State gia’ pensando: “Ma allora cosa ci sei andato a fare in Inghilterra…”? Be’ non fate quelle facce. All’interno dell’edificio c’era di tutto, si poteva leggere comodamente seduti in poltrona, sorseggiare le bevande distribuite dal bar interno e poi comprare i libri senza fretta… Non male vero?

Comunque, tra la carrellata di libri che ho preso (i prezzi erano veramente buoni), me ne e’ capitato uno che ha, diciamo, cambiato il mio approccio alla sicurezza. Forse dal titolo dell’articolo qualcuno avra’ gia’ intuito che si tratta di “No Tech Hacking” di Johnny Long. Non e’ un libro particolarmente intenso, infatti molte parti sono costituite da immagini, ma espone interessanti punti di vista. Fa comprendere che le tecniche piu’ semplici, e rigorosamente a bassa o nulla tecnologia, sono spesso molto piu’ potenti ed efficaci di quelle altamente sofisticate. Diciamo che mi ha convertito alla no-tech way, e la storia seguente illustrera’ alcune peculiarita’ di questa “filosofia”.
Buona lettura!

Camminando tranquillamente per strada…

Spesso mi capita di svolgere tranquillamente le mie attivita’ quotidiane: passeggiare per strada, fare compere nei negozi, visitare locali pubblici; quando all’improvviso un piccolo input scatena ragionamenti contorti nella mia mente, su cose che hai i “comuni mortali” con cui sono a contatto ogni giorno (io lo considero un termine affettivo), appaiono fantascienza. Deformazione professionale? Probabilmente… E’ solo che dopo aver compreso fino a dove ci si possa spingere, avendo solamente la giusta attitudine, molte cose smettono di stupirti.

Acceca e colpisci

Sto uscendo adesso da un negozio, con i sacchetti della spesa in mano. La mia casa non e’ lontana, e oltre a farmi fare un po’ di esercizio fisico, il tragitto mi permette di riflettere su quello che vedo. Negli ultimi anni, ad esempio, e’ avvenuta una moltiplicazione delle telecamere di sorveglianza nei locali pubblici, e ancora piu’ preoccupante, all’esterno. Anche i privati ormai si affidano al falso senso di sicurezza che le CCTV infondono.

Purtroppo nella mia esperienza queste prevengono solo furti da parte di “ladri hobbysti”, ma non intimoriscono affatto un professionista. Basti pensare alla loro disposizione, che spesso non e’ razionale e include ampie zone morte.

Ma anche considerando l’assenza di zone d’ombra, si puo’ facilmente rendere cieco un breve segmento del perimetro, che separa l’attaccante dall’obiettivo. Basta un fascio di luce abbastanza intenso da rendere cieco l’obiettivo della videocamera, o almeno impedire la raccolta di immagini utili. Il costo degli strumenti? Da non piu’ di 200 euro fino a poche monete… Ecco il nostro armamentario:

Pistola a mano...

... o fucile da cecchino?

Un semplice laser, venduto a pochi euro, puo’ servire allo scopo, e insieme a un mirino (e magari a un piedistallo, per potersi allontanare dall’apparecchio) si possono accecare i punti strategici e attraversare la zona senza essere ripresi. Con laser piu’ potenti e addirittura possibile rovinare definitivamente la telecamera, in modo che non possa riprendere anche dopo la fine dell’attacco. Esistono dei filtri per contrastare questo tipo di problema, ma ovviamente non sono perfetti, e aumentano di molto il prezzo della telecamera…

Real World Denial of Service

Un’altra categoria di attacchi che adoro sono gli attacchi di “denial of service”, nel mondo reale. Puo’ sembrare strano a sentirlo, ma questo genere di attacchi e’ sempre stato usato dall’uomo. Invece di basarsi su punti deboli di protocolli o software, i RWDoS sfruttano lacune nei dispositivi di sicurezza e nel comportamento umano. Potreste capire meglio con qualche esempio…

Poco tempo fa, un mio amico che gestiva un negozio installo’ un impianto antifurto, in seguito a ripetute intrusioni notturne nel negozio. Per diversi mesi non si verificarono furti. Poi un pomeriggio, un’ora prima dell’orario di chiusura, l’allarme scatto’. Arrivo’ in poco tempo una pattuglia della polizia, ma accertatasi che non si era verificato nessun furto, spinse il titolare a chiamare l’assistenza per l’antifurto. Dopo una mezzora arrivarono i tecnici, ma, dato che dal breve sopraluogo non riuscirono a individuare la causa del guasto, dissero che sarebbero venuti l’indomani a sistemarlo con piu’ calma. Durante la notte i ladri ebbero via libera e poterono agire indisturbati…
Cos’era successo? Poco prima dell’orario di chiusura un ladro danneggio’ in modo sottile i cavi che collegavano l’impianto alla polizia, in modo che non potesse essere inviato l’heartbeat (letteralmente il “battito di cuore”)che indica il corretto funzionamento del dispositivo. Essendo il danno subdolo non fu individuato subito, e la riparazione fu rimandata, in quanto considerata non banale. E cosi’ i ladri ebbero il negozio a loro disposizione.

Ma forse non e’ questo l’esempio migliore di RWDoS. Pensate a un recinto con sensori di movimento, che ne prevengono la scalata e lo scavalcamento. Un possibile intruso potrebbe muovere il recinto e poi nascondersi. La guardia allertata controllerebbe la situazione, ma non troverebbe niente di sospetto. Dopo che ripetute volte l’attaccante attiva l’allarme, e nessuna di queste e’ seguita da un tentativo di intrusione, la guardia potrebbe pensare che i sensori sono guasti, e cosi’ disattivarli.
Spesso non e’ nemmeno necessario l’intervento attivo di un intrusore, per far spazientire gli addetti alla sicurezza. Impianti come sensori di movimento a infrarossi o a vibrazioni, sono regolarmente disattivati in giornate di pioggia, neve o anche solo ventose, per via dei numerosi falsi allarmi.

Il morale della favola

Spesso le misure di sicurezza adottate nel mondo reale sono a un livello decisamente piu’ basso di quelle virtuali. Un attaccante intelligente non perde tempo con crittografia, scansione di reti, uso e sviluppo di exploit, quando ci sono punti estremamente deboli che aspettano solo di essere sfruttati. Nel mondo reale, come in quello virtuale, bisogna conoscere i limiti delle singole misure di sicurezza, per poter sviluppare una corretta “Security in deep”.

Risorse:

• Articolo molto completo sull’accecare telecamere. Michael Naimark.
• Accecare una telecamera con laser. How2DoStuff.
• Doc Droppers: Superare misure di sucurezza fisica.

Identity Paranoia

Oggi avevo voglia di verificare un idea che mi frullava da un po’ nella testa: vedere quanto e’ difficile creare una falsa identità, provare a costruire un’identità virtuale vedendo quali sono i modi, e i servizi migliori per rendere credibile questa falsa persona. Non pensate che io sia un criminale o qualcosa del genere, considerate questo articolo solo un’esplorazione dei vari servizi offerti dalla rete e come questi possono essere combinati tra loro per raggiungere un certo scopo.

Si parla tanto di sicurezza, ma le persone la comprendono poco. Ultimamente mi sta capitando di viaggiare e vedo continuamente degli eccessi e delle misure precauzionali, dettati solamente da una sbagliata comprensione delle minacce. Mi riferisco in particolare al terrorismo, e nonostante ci sarebbero molte cose da dire, l’articolo non ne parlerà. Sappiate soltanto che sono decisamente contro certe politiche (in particolare mi danno molto fastidio i check in degli aeroporti e il fatto che qualunque servizio di trasporto utilizzi per spostarti e’ richiesto un documento di identità. E’ realmente cosi grave la minaccia del terrorismo da rendere necessario un tracking di tutti i cittadini europei che viaggiano?). Comunque chiudiamo qui la provocazione…

ATTENZIONE: Secondo la Corte di Cassazione chi crea una falsa identità sul web commette un reato, in quanto “si lede la fede pubblica degli utenti che credono di parlare con una persona diversa da quella che è nella quotidianità”. Pertanto questo articolo ha solo valenza teorica e non vuole incitare alcuno a infrangere la legge o a commettere reati attraverso le metodologie esposte.

ATTENZIONE2: L’articolo e’ frutto della mia mente bacata ed e’ stato scritto di fretta, quindi fatemi notare gli errori ma non stressate troppo…

Una nuova identità, passo passo…

Immaginiamo di voler creare una nostra falsa identità. Per prima cosa bisogna deciderne i dati anagrafici. Una semplice lista di quello che si dovrebbe stabilire prima di cominciare il reale processo di “creazione” e’ questa:

• Nome, Cognome e sesso
• Data e luogo di nascita
• Indirizzo di residenza
• Codice fiscale

Assumendo che la cittadinanza sia italiana il codice fiscale è semplice da calcolare. Si può fare online ad esempio sul sito www.codicefiscale.com.

Una volta decisi i dati essenziali passiamo alla creazione di un’email, in quanto ci servirà per registrare account per molti servizi online.

NB: Dato che si vuole mantenere nascosta l’identità reale, per tutte le operazioni si presume l’utilizzo di tecniche per mantenere l’anonimato. Tor, proxy o reti wireless aperte possono essere protezioni adeguate, ma non è scopo dell’articolo trattare queste cose.

Tornando alle email ci sono diversi servizi possibili da utilizzare. Ad esempio: se l’unica necessità è la registrazione a un sito si può utilizzare un’email temporanea. Questi sono alcuni dei servizi piu’ utilizzati:

www.tempomail.fr
spambox.us
www.tempinbox.com
www.maileater.com

In particolare spambox.us permette di creare una email con durata massima di un anno (la più lungo tra i siti consultati). L’unico svantaggio è che alcuni siti (come ebay o google) non accettano l’utilizzo di queste caselle temporanee per la registrazione.

In alternativa si può registrare una casella di posta normale. In questo caso vi consiglio di utilizzare dei server al di fuori dell’unione europea, sempre per questiani di anonimato. Magari in un paese che ha scarsi rapporti con l’Italia, in modo che eventuali accertamenti procedano a rilento.  Ecco alcuni esempi:

www.webmail.co.za (Repubblica Sudafricana)
www.hotdak.net (India)
mail.ru (Russia)

È inutile dire che queste email non sono sicure (neanche quelle dei provider italiani del resto…) Non bisognerebbe trasmettete dati sensibili, riferiti alla falsa identità naturalmente, se non assolutamente necessario: anche se fittizia bisogna evitare di diffondere informazioni inutili per non farla crollare prima del tempo.

Ora si deve passare alla creazione di un canale per le transazioni economiche. È banale parlare della creazione di un account PayPal quindi voglio trattare di qualcosa di un pochino più avanzato. Comunque se volete utilizzare un servizio simile a PayPal vi propongo qualche altervativa:

www.moneybookers.com – Molto simile a PayPal.
ripplepay.com – Un interessante servizio di pagamento online orientato alle community. Consiglio di leggere le FAQ perchè interessanti.
www.iwsmile.it – Servizio italiano. Buono per piccole transazioni.
www.neteller.com – Interessante servizio che permette anche il prelievo dei tramite assegno o sportello automatico.

Un account registrato per uno di questi servizi, comunque, non gode della stessa fiducia di un conto corrente aperto presso un istituto bancario.

Adesso sorge spontanea una domanda, quanto e’ facile aprire un conto corrente (e quindi aver accesso a un bancomat, una carta di credito o quant’altro)?

Dal mio punto di vista, piu’ facile che viaggiare in aereo:

• Non e’ richiesta la persona fisica (Va be, del resto…)
• Non e’ strettamente richiesto un documento di identità originale, nella maggior parte dei casi basta una copia o il numero del documento.
• Puo’ essere fatto da casa (Va be, del resto… 2)
• E’ possibile aprire un conto non soggetto alla legislazione italiana o europea.

Avete mai sentito parlare dei cosidetti “paradisi fiscali”? Sono stati in cui le leggi sono particolarmente permissive riguardo alle attività economiche degli istituti di credito, e che fondano parte della loro economia proprio sulle transazioni finanziarie operate da persone al di fuori dei loro confini. Ve ne sono sia in europa, e tra questi troviamo la Svizzera, il Lussenburgo, Malta, San Marino, le isole Jersey e alcuni altri, mentre al di fuori dell’europa abbiamo le isole Vanuatu, Tonga, Cayman e molte altre.

Seycelles. I nostri soldi stanno meglio di noi...

Per una lista completa dei paradisi fiscali, europei e non, potete visitare il sito www.paradisi-fiscali.com, dove e’ presente anche una descrizione del profilo economico dei singoli stati. A mio parere la scelta di uno stato dove creare il conto corrente della nostra identità dovrebbe ricadere su uno di questi, o quantomeno uno stato non soggetto alla legislazione europea.

La cosa migliore e’ optare per un conto interamente online. I passaggi sono normalmente questi:

• Scelta degli intestatari del conto.
• Visione dei documenti sulle condizioni generali di contratto e accettazione dei medesimi.
• Inserimento dei dati personali. In questa fase e’ necessario fornire anche i dati riguardo al documento d’identità. Non essendoci pero’ la necessità della persona fisica ne del documento originale, dovrebbe essere relativamente facile fornire dati falsi, specialmente in alcuni stati…
• Scelta delle varie opzioni riguardo al conto e selezione dei servizi richiesti dall’istituto di credito.

Una volta fatto questo la falsa identità acquista una notevole credibilità e puo’ usufruire di praticamente tutti i servizi a cui una persona reale a accesso.

Naturalmente il discorso non finisce qui. Se ne avro’ la possibilità approfondiro’ l’argomento in un prossimo articolo…