Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
I ricercatori di sicurezza di Guardio Labs hanno scoperto una grave falla di sicurezza nel browser web Opera per i sistemi operativi Windows e macOS. Con il suo aiuto, gli aggressori possono eseguire qualsiasi file, compresi quelli dannosi, sul sistema operativo di base del computer.
Gli esperti hanno assegnato alla vulnerabilità il nome in codice “MyFlaw” (un gioco di parole, tradotto letteralmente come “la mia vulnerabilità”). Poiché è associata alla funzione “My Flow”, che consente di sincronizzare messaggi e file tra dispositivi mobili e desktop .
Per implementare la vulnerabilità viene utilizzata un’estensione del browser controllata dall’aggressore, che sostanzialmente aggira la sandbox . Il problema riguarda sia la versione normale di Opera che Opera GX.
My Flow ha un’interfaccia simile a una chat e viene utilizzato per condividere note e file tra lo smartphone e il computer desktop. A quanto pare, i file di questa chat possono essere avviati direttamente tramite l’interfaccia web del browser, al di fuori del contesto di sicurezza.
Il funzionamento di My Flow è assicurato da un’estensione integrata chiamata “Opera Touch Background”. L’estensione contiene il proprio file manifest, che ne specifica il comportamento. Nonché tutte le autorizzazioni necessarie, inclusa la proprietà “externally_connectable”, che dichiara quali altre pagine web ed estensioni possono connettersi ad essa.
I domini che possono comunicare con l’estensione devono corrispondere ai pattern “*.flow.opera.com” e “.flow.op-test.net”, controllati dallo stesso sviluppatore del browser. Tuttavia, i ricercatori di Guardio Labs hanno scoperto una versione “dimenticata” della pagina iniziale di My Flow sul dominio “web.flow.opera.com”.
La pagina trovata è visivamente simile alla versione corrente. Differisce per l’assenza di un tag sulla politica di sicurezza del contenuto e per la presenza di un tag script che richiama un file JavaScript senza verificarne l’integrità.
“Questo è esattamente ciò di cui un utente malintenzionato ha bisogno: una risorsa insicura, dimenticata e vulnerabile all’iniezione di codice con un accesso privilegiato molto elevato all’API del browser”. Afferma il rapporto di Guardio Labs.
L’ultima catena di attacco prevede che l’aggressore crei un’estensione speciale che si maschera da dispositivo mobile per comunicare con il computer della vittima. Successivamente trasmetta codice dannoso crittografato attraverso un file JavaScript modificato per la successiva esecuzione semplicemente toccando lo schermo dell’utente.
“Nonostante operino in ambienti isolati, le estensioni possono diventare potenti strumenti per gli hacker. Consentono loro di rubare informazioni e violare i limiti di sicurezza del browser”, hanno affermato i ricercatori.
I rappresentanti di Opera hanno risolto la vulnerabilità il 22 novembre 2023, appena 5 giorni dopo la divulgazione. Gli sviluppatori hanno anche implementato correzioni lato server e adottato una serie di misure per prevenire problemi simili in futuro. Per motivi di sicurezza, si è deciso di rendere pubblica la vulnerabilità solo ora.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/