Gooligan: il furto di token Google nella campagna Android del 2016
Gooligan sottraeva token su dispositivi Android compromessi. I numeri del 2016 e le funzioni osservate non descrivono una minaccia identica su ogni telefono.
LeggiL'archivio · pagina 7
150 articoli, dalle guide di oggi alle storie del 2016. L'ordine segue la prima pubblicazione; le revisioni sono indicate nelle singole pagine.
Carte Visa e tentativi distribuiti: lo studio del 2016
La ricerca sui pagamenti del 2016 individuò limiti nei controlli fra più esercenti. I “sei secondi” non descrivono ogni carta o ogni transazione.
Leggi
Stegano: pubblicità malevole mostrate a oltre un milione di utenti
Nel 2016 ESET analizzò Stegano: annunci con codice nascosto nei pixel e attacchi a browser vulnerabili. Esposizione non significa infezione.
Leggi
Popcorn Time: il ransomware che prometteva uno sconto per contagiare altri
Nel 2016 Popcorn Time prometteva una chiave a chi faceva infettare e pagare altre vittime. Una promessa criminale, senza garanzie di recupero.
Leggi
PoisonTap: il browser aperto oltre il blocco schermo
La dimostrazione PoisonTap del 2016 sfruttava USB, rete e HTTP. Condizioni, cookie vulnerabili e limiti del presunto controllo del PC.
Leggi
WindTalker: inferire un PIN dai segnali Wi-Fi in laboratorio
Lo studio WindTalker del 2016 analizzava variazioni radio per inferire tasti numerici. Hardware, addestramento e risultati limitano la generalizzazione.
Leggi
iPhone: il vecchio bypass del blocco con Siri e VoiceOver
Il caso Siri e VoiceOver del 2016 richiedeva accesso fisico e condizioni specifiche. Un bypass della schermata di blocco non rende inutile il codice.
Leggi
Messenger e allegati SVG: la campagna malware del 2016
Nel 2016 falsi video ed estensioni accompagnavano una campagna via Messenger. Un SVG non esegue script in ogni contesto di visualizzazione.
Leggi
Web of Trust e i dati di navigazione: il caso del 2016
L’inchiesta del 2016 su Web of Trust mostra perché una cronologia può identificare una persona anche senza nome e cognome.
Leggi
OAuth e login social: l’errore è fidarsi dell’identità inviata dall’app
La ricerca del 2016 sui login mobili mostrava errori di integrazione. OAuth autorizza; OpenID Connect aggiunge un livello standard di autenticazione.
Leggi
Wi-Fi e IMSI: che cosa esponeva la ricerca del 2016
La ricerca sui Wi-Fi IMSI catcher riguardava protocolli e profili specifici. Conoscere l’IMSI non permette da solo di leggere chiamate e chat.
Leggi
Svpeng e Chrome nel 2016: download automatico non significa installazione
La campagna Svpeng sfruttava pubblicità e download ingannevoli su Android. Il file APK scaricato non era automaticamente installato ed eseguito.
Leggi
Facebook e le password rubate: perché il riuso mette a rischio gli account
Password pubblicate nei leak e riuso delle credenziali: cosa può controllare un servizio e perché MFA e recupero account sono protezioni diverse.
Leggi
Attacchi informatici e vita quotidiana: dipendenze che non vediamo
I disservizi digitali possono colpire anche chi non usa direttamente il servizio attaccato. Le lezioni degli incidenti del 2016.
Leggi
Drammer: Rowhammer sui dispositivi Android studiati nel 2016
Drammer mostrò un’escalation di privilegi su alcuni dispositivi Android. L’hardware e le mitigazioni contano: non era “root per tutti”.
Leggi
MBRFilter: cosa proteggeva il filtro Talos del 2016
MBRFilter bloccava le scritture al settore iniziale del disco. Una difesa mirata contro alcuni attacchi, non contro ogni ransomware.
Leggi
Acecard: quando il trojan bancario chiedeva un selfie con il documento
La variante Acecard del 2016 usava schermate false per raccogliere carta, documento e selfie. Come distinguere la richiesta dal contesto che la rende sospetta.
Leggi
AtomBombing: iniezione di codice, non una chiave universale per Windows
La ricerca enSilo del 2016 descriveva una tecnica di process injection con atom table e APC. Prerequisiti e limiti delle difese.
Leggi