Un’e-mail crittografata può causare l’arresto anomalo immediato del sistema macOS/iOS? La risposta è SI!

Non si tratta di un complotto di fantascienza, ma di un attacco reale, come rivelano gli ultimi risultati delle ricerche di Alibaba Security. Per prevenire efficacemente questo tipo di attacco, Alibaba Security e l’Università dell’Indiana a Bloomington hanno esplorato e scoperto congiuntamente un vettore di attacco per rilevare potenziali problemi di sicurezza DoS (Denial-of-Service) nelle librerie di algoritmi crittografici: certificati X.509 malformati.

Hanno quindi condotto una serie di ricerche su problemi correlati nelle librerie di algoritmi crittografici basate su questo vettore. Questo risultato è stato reso pubblico alla conferenza USENIX Security’25 ed è stato candidato ai Pwnie Awards, gli “Oscar del mondo degli hacker”.

Utilizzando certificati X.509 malformati, i ricercatori hanno condotto esperimenti su sei librerie di algoritmi crittografici open source tradizionali: OpenSSL, Botan, Bouncy Castle, Crypto++, GnuTLS e phpseclib, nonché su una libreria crittografica Security progettata specificamente per l’ecosistema Apple.

Sono state scoperte 18 nuove vulnerabilità CVE e identificate 12 vulnerabilità CVE note .

I certificati digitali X.509 sono le “carte d’identità” del mondo online

Con l’ampia diffusione di Internet, le problematiche relative alla sicurezza delle reti stanno diventando sempre più importanti. Per garantire la sicurezza e l’affidabilità delle comunicazioni di rete, i certificati digitali sono diventati uno strumento fondamentale per garantire l’autenticazione dell’identità e la sicurezza dei dati.

Un certificato digitale è come una “carta d’identità” nel mondo online. Viene rilasciato da un’organizzazione terza affidabile (chiamata autorità di certificazione, CA) e viene utilizzato per verificare l’identità di entrambe le parti in comunicazione e garantire che le informazioni non vengano manomesse durante la trasmissione.

Attualmente, X.509 è uno degli standard di certificazione digitale più ampiamente adottati a livello internazionale. Definisce la struttura e il contenuto di base di un certificato, inclusi campi quali informazioni sul soggetto, chiave pubblica, algoritmo di firma e periodo di validità, e supporta meccanismi di verifica della catena di certificati, creando così un’infrastruttura a chiave pubblica (PKI) affidabile.

Inoltre, i certificati X.509 sono diventati una componente fondamentale della moderna sicurezza di rete, utilizzati in vari protocolli (come TLS e S/MIME) per garantire la sicurezza delle comunicazioni. Anche i sistemi operativi moderni (come macOS e iOS) utilizzano i certificati X.509 per la verifica delle firme, garantendo l’autenticità e l’integrità delle applicazioni.

Risoluzione dei problemi di tipo DoS con certificati X.509 non validi

Le API relative alla crittografia sono spesso complesse nella progettazione, e molti sviluppatori non hanno conoscenze specifiche in materia. La contraddizione tra i due aspetti porta a un frequente uso improprio delle API di crittografia nella pratica, il che ha spinto la ricerca esistente a concentrarsi su come contrastare al meglio l’uso improprio delle API di crittografia.

Tuttavia, anche se gli utenti rispettano rigorosamente le specifiche di utilizzo e chiamano correttamente l’API in una libreria crittografica, potrebbero comunque verificarsi rischi per la sicurezza dovuti a problemi di sicurezza nell’implementazione dell’API stessa.

La ricerca attuale sui problemi di sicurezza nelle implementazioni crittografiche si concentra principalmente sulla riservatezza (come gli attacchi side-channel) e sull’integrità (come le collisioni hash) nella tripletta CIA (riservatezza, integrità e disponibilità), mentre viene prestata meno attenzione ai problemi di disponibilità. Tuttavia, il team di ricerca ha notato che le librerie crittografiche sono spesso più vulnerabili agli attacchi DoS rispetto ad altri tipi di progetti a causa delle due caratteristiche seguenti:

• L’implementazione di librerie crittografiche spesso comporta operazioni su “grandi numeri” (ad esempio, operazioni su un campo finito che coinvolgono un numero primo a 1024 bit). Tali operazioni e i loro ordini di grandezza sono relativamente rari nei progetti non crittografici.
• L’implementazione di librerie crittografiche spesso comporta l’elaborazione di vari tipi di dati (come ASN.1) e regole di codifica (come la codifica DER). La progettazione di questi schemi è spesso complessa ed è facile commettere errori durante il processo di implementazione.

Per convalidare ulteriormente questa osservazione, il team di ricerca ha condotto un’analisi sistematica delle implementazioni di codice in diverse librerie crittografiche vulnerabili agli attacchi DoS. Nel processo, hanno dimostrato la fattibilità dell’utilizzo di certificati X.509 malformati come vettore di attacco per sfruttare e rilevare problematiche di tipo DoS nelle librerie crittografiche.

I principali contributi di questo lavoro includono i seguenti tre punti:

• Analisi sistematica e nuove scoperte : hanno condotto la prima analisi sistematica delle librerie di algoritmi crittografici vulnerabili agli attacchi DoS. Così facendo, hanno scoperto tre nuovi rischi per la sicurezza di tipo DoS e hanno rivelato un vettore di attacco comune, ovvero certificati X.509 malformati, per sfruttare le vulnerabilità DoS associate a dieci rischi tipici identificati in questo studio.
• Sviluppo di strumenti automatizzati + Individuazione e sfruttamento delle vulnerabilità : hanno sviluppato uno strumento automatizzato chiamato X.509DoSTool, che può essere utilizzato per generare rapidamente certificati malformati specifici e rilevare vulnerabilità DoS nelle corrispondenti implementazioni delle librerie crittografiche. Utilizzando questo strumento, hanno scoperto con successo 18 nuove vulnerabilità e identificato 12 vulnerabilità note. Hanno inoltre verificato queste vulnerabilità in scenari reali e scoperto nuovi metodi di sfruttamento remoto sulle piattaforme macOS e iOS.
• Modellazione delle minacce e strategie di mitigazione : attraverso la modellazione delle minacce e i risultati sperimentali, hanno dimostrato che l’attacco DoS X.509 è una minaccia diffusa, ma finora poco studiata, nel mondo reale. Sulla base di ciò, hanno ulteriormente analizzato le cause profonde degli attacchi DoS X.509 e proposto strategie di mitigazione praticabili per aiutare gli sviluppatori a migliorare la sicurezza dei loro sistemi.

Questa sezione è dettagliata nella Sezione 1 dell’articolo. Inoltre, per comprendere meglio il contenuto dei capitoli successivi, si consiglia ai lettori di fare riferimento all’introduzione alle conoscenze di base nella Sezione 2 dell’articolo per una maggiore comprensione degli aspetti matematici delle curve ellittiche, di ASN.1 e di X.509.

La ricerca di Alibaba Security

In questo lavoro, i ricercatori concentrandosi su questo attacco, hanno ulteriormente analizzato i meccanismi e i metodi di sfruttamento di una serie di vulnerabilità legate ai rischi DoS nelle librerie crittografiche. Utilizzando strumenti automatizzati, hanno scoperto 18 nuove vulnerabilità in sette importanti librerie crittografiche. Hanno poi dimostrato queste vulnerabilità in due scenari reali: l’handshake TLS reciproco sui siti web HTTPS e la verifica della firma sui sistemi macOS/iOS di Apple.

I risultati sperimentali dimostrano la fattibilità dei certificati X.509 malformati da loro creati nel rilevare e sfruttare le vulnerabilità DoS nelle librerie crittografiche. Rivelano inoltre che gli attacchi DoS X.509 rappresentano una minaccia alla sicurezza diffusa ma poco studiata, meritevole di maggiore attenzione. Discutono inoltre le cause profonde di questi attacchi e propongono una serie di possibili strategie di mitigazione.

In futuro, il team di ricerca spera che questo lavoro possa accrescere ulteriormente la consapevolezza della comunità della sicurezza in merito alle vulnerabilità crittografiche e ai metodi di attacco e ispirare più ricercatori a esplorare meccanismi efficaci di rilevamento e difesa, promuovendo congiuntamente la costruzione di sistemi crittografici e proteggendo la sicurezza degli utenti.

L'articolo Bug da Oscar per macOS/iOS! Un’email crittografata causa l’arresto anomalo del device proviene da il blog della sicurezza informatica.

E’ stato segnalato da Group-IB che un Raspberry Pi con supporto 4G e’ stato sfruttato dal gruppo di pirati informatici UNC2891, conosciuto anche con il nome di LightBasin, al fine di superare le misure di sicurezza e accedere alla rete della banca. Attraverso la connessione allo stesso switch di rete del bancomat, il computer a scheda singola ha creato un varco nella rete interna della banca, permettendo ai malfattori di operare in modo laterale ed installare delle backdoor.

I ricercatori, che hanno individuato la violazione durante l’esame di operazioni sospette sul sistema informatico della banca, hanno rilevato che l’attacco era finalizzato ad alterare l’autorizzazione dei terminali di prelievo automatico e ad effettuare operazioni di ritiro di denaro.

Sebbene l’attacco LightBasin sia fallito, i ricercatori sottolineano che l’incidente è un raro esempio di attacco ibrido avanzato (che combina accesso fisico e remoto) che ha utilizzato anche più metodi anti-forensi. Il gruppo LightBasin, attivo dal 2016, non è il primo ad attaccare i sistemi bancari. Ad esempio, già nel 2022, gli esperti di Mandiant avevano segnalato l’allora nuovorootkit Unix Caketap, creato per funzionare sui sistemi Oracle Solaris utilizzati nel settore finanziario.

I ricercatori hanno quindi concluso che l’obiettivo finale di Caketap era quello di intercettare i dati di verifica delle carte di credito e i PIN dai server degli sportelli bancomat hackerati e poi utilizzare tali informazioni per effettuare transazioni non autorizzate. I messaggi intercettati da Caketap erano destinati a un Payment Hardware Security Module (HSM), un dispositivo hardware antimanomissione utilizzato nel settore bancario per creare, gestire e convalidare chiavi crittografiche per PIN, bande magnetiche e chip EMV.

Nell’attacco scoperto da Group-IB, i partecipanti a LightBasin hanno ottenuto l’accesso fisico a una filiale bancaria anonima, autonomamente o corrompendo un dipendente, che ha aiutato gli hacker a installare un Raspberry Pi con un modem 4G sullo stesso switch di rete del bancomat. Ciò ha permesso agli aggressori di mantenere un accesso remoto costante alla rete interna della banca, bypassando i firewall.

Sul Raspberry Pi era installata una backdoor TinyShell, che l’aggressore ha utilizzato per creare un canale di comunicazione con il server di comando e controllo tramite una rete mobile. Nelle fasi successive dell’attacco, gli aggressori si sono spostati sul Network Monitoring Server, che aveva ampie possibilità di connettersi al data center della banca.

Da lì, gli aggressori si sono spostati su un server di posta che aveva accesso diretto a Internet e che è rimasto presente sulla rete dell’organizzazione anche dopo che il Raspberry Pi è stato scoperto e rimosso. Le backdoor LightDM utilizzate dagli aggressori, imitavano gli accessi legittimi sui sistemi Linux. Un altro elemento che ha contribuito all’elevato grado “stealth” è stato il montaggio di file system alternativi (tmpfs ed ext4) sui percorsi /proc/[pid] dei processi dannosi. Ciò ha permesso di nascondere i metadati associati agli strumenti forensi.

Secondo i ricercatori, l’obiettivo finale degli aggressori era quello di distribuire il rootkit Caketap, ma il piano è stato sventato quando l’attacco è stato scoperto.

L'articolo Mr Robot Insegna: un Raspberry Pi con supporto 4G usato dagli hacker per accedere alla rete di una banca proviene da il blog della sicurezza informatica.

Every Thursday of the week, Bastian’s Night is broadcast from 21:30 CEST (new time).

Bastian’s Night is a live talk show in German with lots of music, a weekly round-up of news from around the world, and a glimpse into the host’s crazy week in the pirate movement.

If you want to read more about @BastianBB: –> This way

piratesonair.net/bastians-nigh…

On a Friday afternoon in mid-June, independent journalist Jack Poulson made a curious discovery: An article that we published about the aggressive attempts of a San Francisco-based tech executive named Maury Blackman to censor Poulson’s reporting about his sealed domestic violence arrest had, itself, disappeared from Google search results.

After Poulson alerted us that day, we immediately investigated that weekend. Even when searching for the article’s exact headline – “Anatomy of a censorship campaign: A tech exec’s crusade to stifle journalism” – it didn’t appear on Google search. It did, however, show up atop results on other search engines like DuckDuckGo and Bing. No other articles published by Freedom of the Press Foundation (FPF) seemed to have been suppressed by Google.

A Google search conducted by FPF on June 17 of the exact headline didn’t return the article. Other FPF articles appeared normally.

(Screenshot)

The article removed from Google search reported on a sweeping, persistent effort by Blackman or his apparent representatives to silence reporting by Poulson and his nonprofit Tech Inquiry.

The censorship campaign started after Poulson reported in 2023 about the executive’s 2021 arrest on suspicion of domestic violence against his then-25-year-old girlfriend in San Francisco. Blackman, 53 at the time, was never charged or convicted, and the alleged victim recanted her statements. A California court sealed the arrest report in 2022.

Shortly after the publication of Poulson’s article, Blackman resigned as CEO of Premise Data Corp., a surveillance technology firm with U.S. military contracts.

When Blackman was still Premise’s CEO, the company hired a private investigation and security service firm, and filed legal requests in an attempt to unmask Poulson’s confidential sources. Someone claiming to represent Blackman submitted fraudulent Digital Millennium Copyright Act takedown requests targeting Poulson’s article. Blackman’s attorneys also roped the San Francisco city attorney into an intimidation campaign against Poulson and Substack, which hosts his newsletter.

These tactics all failed.

But that wasn’t all. Blackman also filed a baseless defamation lawsuit against Poulson, his website hosts, and Tech Inquiry that was later dismissed on First Amendment grounds under California’s anti-SLAPP statute (SLAPP, a strategic lawsuit against public participation, refers to legal actions brought to chill speech). Blackman is appealing the dismissal.

And in April, Blackman even filed a lawsuit against the city of San Francisco for allegedly releasing the arrest report. One of the exhibits to a later filing included a May 2024 letter sent by Blackman’s lawyer to an individual that he thought was Poulson’s source, threatening legal action and demanding a $7.5 million settlement payment.

How Google search was exploited

There are several well-known tactics used to suppress or remove results from Google search. Copyright claims (legitimate and frivolous), court orders (real, forged, or otherwise fishy), and warning letters from government agencies have all been used to disappear search results from Google, sometimes as the result of the work of shady reputation management companies.

Our article, however, was vanished from Google search using a novel maneuver that apparently hasn’t been publicly well documented before: a sustained and coordinated abuse of Google’s “Refresh Outdated Content” tool. (In 2023, in response to a public support request flagging the abuse of the tool to de-index pages, Google’s search liaison said that the company would look into it further, but provided no additional information. The request has since been locked and the replies disabled.)

Google’s “Refresh Outdated Content” tool

(Screenshot)

This tool is supposed to allow those who are not a site’s owner to request the removal from search results of web pages that are no longer live (returning a “404 error”), or to request an update in search of web pages that display outdated or obsolete information in returned results.

However, a malicious actor could, until recently, disappear a legitimate article by submitting a removal request for a URL that resembled the target article but led to a “404 error.” By altering the capitalization of a URL slug, a malicious actor apparently could take advantage of a case-insensitivity bug in Google’s automated system of content removal.

That is exactly what happened to our article about the censorship campaign against Poulson. Someone reported an invalid variation of the article’s URL and requested its removal from Google search results. When Google’s crawler encountered the “404 error” following the report, it not only de-indexed the reported URL but also erroneously removed the live, valid article, possibly alongside every other variant of the URL, from search results.

Each time our original article was re-indexed by Google, someone submitted a new removal request for a slightly modified, oddly-capitalized version of the URL’s slug, triggering the same process, and so on. This cycle allowed the person or people submitting the reports to continuously suppress our article from search visibility — resulting in a game of digital Whac-A-Mole.

Nine removal requests targeting the same article on FPF’s site between May 7 and June 23, 2025.

(Screenshot/Google Search Console)

Once we identified the pattern, we took action by canceling the active removal requests in our Google Search Console and manually re-indexing the article so it would reappear in Google search results.

But we weren’t the only targets of this de-indexing scheme. After we alerted Poulson about what we had found, he discovered that two of his articles were similarly targeted using the same Refresh Outdated Content tool during the same time frame as ours.

In total, the two Poulson articles were targeted using this method 21 times. Our article was targeted nine times. The attacks on both websites spanned the same period, May 7 to June 23, strongly suggesting that a single actor was behind the campaign and that the campaign was forced to an end once Google introduced its fix.

Google’s ‘rare’ response and fix

When we reached out about the removal of our article, a Google spokesperson confirmed the abuse to us in an emailed statement on June 27. Initially, the company told us that the Refresh Outdated Content tool “helps ensure our search results are up to date,” adding that they are “vigilant in monitoring abuse,” and that they have “relisted pages that were wrongly impacted for this specific issue.”

This vague response did not explain whether Google already knew about the vulnerability of its tool for abuse, and was unclear about whether only our and Poulson’s pages had been re-indexed, or other websites were also impacted by similar attacks.

In a response to another question about whether this vulnerability has been widely exploited and how many other web pages could have been improperly de-indexed as a result of the abuse of this tool, the spokesperson claimed that “the issue only impacted a tiny fraction of websites,” which is a very unhelpful answer given the internet’s 1 billion websites.

Upon pressing Google with another round of detailed questions about our findings, the company was more forthcoming: “Confirming that we’ve rolled out a fix to prevent this type of abuse of the ‘Refresh Outdated Content Tool,’ the spokesperson said, but added that they “won’t be able to share anymore on this.”

While Google did the right thing by fixing this vulnerability, it’s disappointing that the company is unwilling to be more transparent. Google says that it’s committed to maximizing access to information. If that’s true, it has an obligation to the public to be transparent about how its products can be misused in such a basic way to censor speech.

Did Google know about the problem before we alerted it? Is it aware of other methods used to maliciously de-index search results? The company isn’t saying. But at least now that Google has confirmed that they’ve introduced a universal fix to avoid further exploitation of that bug, we can reveal the scheme’s details.

Google allowing those other than sites’ owners to remove pages from Google search results “is obviously a huge problem,” said Jason Kelley, director of activism at the Electronic Frontier Foundation. “The other issue is the lack of transparency from Google. Site owners would probably never find out if this feature was used to impact their search results, and probably never will find out that this had happened to them now that it’s corrected.”

Kelley described the company’s admission of the issue’s existence and taking it seriously as “rare.”

(EFF lawyers represented Poulson in the case.)

‘Legal failure’

Poulson told us it was “humbling” to realize that a 600-word article on the CEO of a surveillance firm could lead to such cascading censorship efforts, including the recent effort to “sabotage Google search results.”

“Blackman’s attempt to use the courts to scrub his felony arrest report and related news articles from the internet was not just a legal failure,” Susan Seager, a First Amendment lawyer who represents Tech Inquiry, told FPF. She added that his libel and privacy lawsuit against Poulson, Tech Inquiry, Substack, and Amazon Web Services “brought even more publicity to his arrest.”

On Tuesday, Poulson, Tech Inquiry, and Substack were awarded close to $400,000 in attorneys’ fees by the San Francisco Superior Court.

Who might be behind it?

Because Google does not document who submits removal requests through the Refresh Outdated Content tool, we have no way of knowing for certain who was behind the attempts to suppress search results featuring articles by us and Poulson.

We reached out to Blackman, who is now the CEO of a reputation management agency, ironically named The Transparency Company. We asked whether he or one of his associates reported our or Poulson’s articles using the Refresh Outdated Content tool or otherwise attempted to have Google de-index or suppress them. He didn’t respond to our requests for comment.

The good news is that all three articles — ours and Poulson’s — are restored on Google search, and Google claims to have fixed this problem. Plus, the new round of censorship inspired a new round of reporting, including the article you’re reading right now and a new article by Poulson, also published today.

Maybe now, anyone attempting to abuse legal or technical tools to censor journalism will learn the hard truth about the Streisand Effect: it will almost inevitably draw more attention, not less.

freedom.press/issues/censorshi…