Phishing Banca di Roma: programma rivelatore [Archivio]

View Full Version : Phishing Banca di Roma: programma rivelatore

SuperSandro

27-11-2007, 10:35

Da alcune settimane sto provando il programma (versione free) LinkScanner Lite che elabora indirizzi web per scoprire se possono essere ricondotti a siti di Phishing.

Oggi ho ricevuto una mail della Banca di Roma (ovviamente si tratta di phishing), ho sottoposto l'indirizzo a LinkScanner ed effettivamente il sito è stato definito "sospetto" (vedi immagine allegata a questo post, in GIF monocromatica per esigenze di ingombro).

Domanda: qualcuno sa suggerirmi altri programmi (free) che svolgono funzioni similari? Nel recente passato LinkScanner non sempre è stato in grado di individuare siti chiaramente phishing (silmil-Postepay e altri).

Grazie!

xcdegasp

27-11-2007, 10:55

la toolbar di Finjan svolge un lavoro simile...
sia questo tool che LinkScanner vannopresi molto con le pinze :)

forum1

27-11-2007, 16:44

il miglior programma è il cervello, nessuna banca o simile ti manda e-mail chiedendoti di inserire i dati di login.
basta cestinare tutte le e-mail con richieste simili, spesso scritte in italiano approssimativo.

Chill-Out

27-11-2007, 17:03

diciamo che ne Finjan Secure Browsing ne Link Scanner Lite/Pro sono specifici per quanto concerne il fenomeno dilagante del Phishing meglio utilizzare Netcraft Toolbar disponibile sia per IE che FF

SuperSandro

27-11-2007, 18:49

... meglio utilizzare Netcraft Toolbar disponibile sia per IE che FF ...
L'ho installato (grazie!) e devo riconoscere che è veramente notevole per i dettagli che visualizza.

la toolbar di Finjan svolge un lavoro simile...
Ho installato anche questo, ma probabilmente ne ho scaricati troppi(!). Nei risultati dei motori di ricerca, infatti, compaiono le segnalazioni di McAfee e LinkScanner (installati in precedenza): di Finjan nemmeno l'ombra. Proverò a rimuovere gli altri per valutarlo singolarmente.

il miglior programma è il cervello, nessuna banca o simile ti manda e-mail chiedendoti di inserire i dati di login. basta cestinare tutte le e-mail con richieste simili, spesso scritte in italiano approssimativo.
...che c'entra! Ci mancherebbe altro che apriamo mail sconosciute. Lo sfizio è vedere che cosa succede installando programmi che sorvegliano la nostra navigazione.

---------------

Tra l'altro, penso che NetCraft si installi molto in profondità: sul mio PC (Win XP home SP2) il *meraviglioso* programma PrevX 2.0 segnala ogni nuova installazione. Ebbene, dell'installazione di Finjan si è accorto (con tanto di Alert), ma NetCraft l'ho installato senza che venisse visualizzato alcun avviso.
Devo preoccuparmi?

xcdegasp

27-11-2007, 23:49

la toolbar di MacAfee puoi benissimo cestinarla, ha un'utilità pari allo zero...
l'ho provata in maggioe giugno, mi classificava la concorrenza come pericolosi :rolleyes:

Sisupoika

28-11-2007, 01:35

Domanda: qualcuno sa suggerirmi altri programmi (free) che svolgono funzioni similari?

Nessuno. Invece di installare software sul tuo computer, usa un DNS server che filtri automaticamente a livello di connessione, impedendoti di visitarli, siti con attacchi phishing o comunque maligni.

www.opendns.org

E' sufficiente cambiare i DNS della tua connessione di rete con quelli di OpenDNS, una operazione che richiede pochi secondi.
Cosi' facendo utilizzerai OpenDNS con i settings di default. Se poi registri un'account e crei un profilo per la rete in cui ti trovi (basata su indirizzo IP), puoi anche personalizzare il funzionamento del filtro cambiando le regole a tuo piacimento per i filtri di phishing, parental control (pornografia ecc), proxy avoidance.

IMHO la migliore soluzione per i tre soggetti appena elencati, dal momento che i filtri non richiedono alcun software sulla tua macchina, sono percio' - ovviamente - sempre aggiornati in tempo reale, e in piu' possono accelerare la risoluzione DNS rispetto ai DNS del tuo provider (anche se cio' dipende dal provider e, sembra, dalla locazione geografica; per me in UK e Finlandia OpenDNS velocizza la mia navigazione in maniera notabile).

Tieni presente che qualunque altra soluzione di tipo software, sia esso una applicazione stand alone oppure un plugin per il tuo browser, puo' al contrario rallentare la tua navigazione poiche' quel software dovra' effettuare una richiesta al suo server per verificare l'attendibilita' del sito che stai visitando.
Inoltre molti filtri software/plugins sono abbastanza bloated, aggiungono funzionalita' spesso del tutto inutili oltre al puro controllo phishing che hanno come unico concreto effetto quello di rallentare ulteriormente la tua navigazione.
E' chiaro che con moderne e veloci broadband questo impatto non si notera' tantissimo, ma e' da prendere in considerazione e comunque dipendera' dalla disponibilita' del server che effettuera' i vari controlli per ciascuna richiesta da parte della soluzione software adottata.

Un'alternativa ad OpenDNS - che comunque rimane la scelta migliore IMHO - sempre in tema di soluzioni senza installazione di alcun software o plugins, e' utilizzare il filtro anti phishing di Google integrato in Firefox (che trovi nelle opzioni del programma).

In aggiunta, puoi prevenire il caricamento di possibili siti nocivi aggiornando il tuo file HOSTS. Ti rimando a questa mia discussione in merito dove puoi trovare una semplice soluzione batch che aggiornera' il tuo HOSTS automaticamente quando vi sara' una versione aggiornata del database di questa sorta di filtro.

http://www.hwupgrade.it/forum/showthread.php?t=1520398&highlight=sisupoika+hosts

il miglior programma è il cervello, nessuna banca o simile ti manda e-mail chiedendoti di inserire i dati di login.
basta cestinare tutte le e-mail con richieste simili, spesso scritte in italiano approssimativo.

Putroppo il cervello da solo non basta in questi casi; come ho sottolineato nei miei precedenti test a proposito di phishing, e' possibile camuffare un link affinche' esso appaia (anche ai normali filtri di phishing!) "originale" mentre invece quel link portera' l'utente altrove o, alternativamente, compiera' azioni inattese sfruttando appunto l'apparente "invisibilita'" dell'esecuzione.
Dai una occhiata ai miei thread in proposito per qualche info in piu'.

In particolare,

http://www.hwupgrade.it/forum/showthread.php?t=1558886&highlight=sisupoika+phishing

SuperSandro

28-11-2007, 09:53

... usa un DNS server che filtri automaticamente a livello di connessione, impedendoti di visitarli, siti con attacchi phishing o comunque maligni. www.opendns.org ... E' sufficiente cambiare i DNS della tua connessione di rete con quelli di OpenDNS, una operazione che richiede pochi secondi...
Anzitutto ti ringrazio per il suggerimento: OpenDNS mancava alla mia collezione di attività dedicate alla sicurezza. Tuttavia...

...tuttavia vorrei alcune rassicurazioni prima di procedere all'attivazione di quanto riferisci.

1) se non ho capito male, dovrei impostare un DNS diverso da quello di default del mio PC (a proposito, il collegamento al web lo ottengo tramite un router; di conseguenza, in Protocollo Internet(TCP/IP)/Proprietà gli indirizzi sono assegnati automaticamente).

2) Così facendo, però, il traffico da / verso il web viene dirottato su OpenDNS, filtrato e quindi restituito al mio PC.

3) Servizio ammirevole, ma mi viene in mente la stessa domanda ogni volta che utilizzo servizi simili a OpenDNS: "Dal momento che il servizio è gratuito, che cosa ci guadagnano le aziende che lo offrono?" Si tratta solo di un ritorno di immagine per vendere prodotti HW più sofisticati e, stavolta, a pagamento?

Per quanto riguarda la lentezza delle connessioni, dovuta ai filtri inseriti sul PC, me ne sono accorto, eccome. Tra le altre cose, ho anche inserito un'attività (non so come chiamarla altrimenti) basata sulla gestione del file HOSTS. Visiterò il link indicato in fondo al tuo post: si annuncia molto interessante!

forum1

28-11-2007, 10:20

ed io ripeto

nessuna banca o simile ti manda e-mail chiedendoti di inserire i dati di login

Bisogna capirle questo. L'inganno parte da lì.

Finché la gente non capirà che se una mail ti offre 500 euro o un telefono gratis in cambio dei tuoi dati di login allora il phishing continuerà.
Si autoalimenta come gli appelli bufala sui virus che bruciano il settore zero dell'hard disk.

Io non ho bisogno che l'antiphishing di Thunderbird o di Firefox mi avvisino che un sito è truffaldino

gomax

28-11-2007, 10:29

forum1

28-11-2007, 10:39

Questo lo sappiamo più o meno tutti in questa sezione... ma vallo a spiegare a milioni di "utonti" :D

Ciao

ma il punto è proprio questo, i vari programmi di protezione annebbiano il cervello, cioè ti dicono che un sito è sicuro e tu sei portato a credergli.
Ti fanno abbassare la guardia e ti disabituano a pensare.

gomax

28-11-2007, 11:03

ma il punto è proprio questo, i vari programmi di protezione annebbiano il cervello, cioè ti dicono che un sito è sicuro e tu sei portato a credergli.
Ti fanno abbassare la guardia e ti disabituano a pensare.

Purtroppo è più comodo (e soprattutto remunerativo...) creare timore e spaventare gli utenti e poi vendergli prodotti per la sicurezza piuttosto che insegnargli a pensare.

Ciao

SuperSandro

28-11-2007, 11:18

... In aggiunta, puoi prevenire il caricamento di possibili siti nocivi aggiornando il tuo file HOSTS. Ti rimando a questa mia discussione in merito dove puoi trovare una semplice soluzione batch che aggiornera' il tuo HOSTS automaticamente quando vi sara' una versione aggiornata del database di questa sorta di filtro. http://www.hwupgrade.it/forum/showthread.php?t=1520398&highlight=sisupoika+hosts
Ho letto la discussione indicata: proprio in quella discussione, stamattina ho fornito il mio contributo sulla gestione del file HOSTS (vedi post N. 25). Mi farebbe piacere sapere che cosa ne pensi.

PS: "semplice" soluzione batch? Forse ho sbagliato a scaricare il file ZIP (anzi, HostsWebFilter.RAR) che risulta di quasi 5 MB e contiene decine e decine di file...

Sisupoika

28-11-2007, 14:51

Anzitutto ti ringrazio per il suggerimento:
1) se non ho capito male, dovrei impostare un DNS diverso da quello di default del mio PC (a proposito, il collegamento al web lo ottengo tramite un router; di conseguenza, in Protocollo Internet(TCP/IP)/Proprietà gli indirizzi sono assegnati automaticamente).

Hai capito bene. Hai due possibilita': cambiare i DNS nella connessione di rete oppure nelle impostazioni del router, come di solito faccio io.

2) Così facendo, però, il traffico da / verso il web viene dirottato su OpenDNS, filtrato e quindi restituito al mio PC.

No, si tratta di semplici richieste DNS, non di proxy, che e' un'altra cosa.
Nessun contenuto web e' trasferito da/verso OpenDNS e il tuo PC.
Quando visiti un sito, il tuo pc fa una richiesta DNS a OpenDNS, e se il sito e' rilevato come nocivo, vieni dirottato su una pagina di avviso invece che su quel sito. Tutto qui.

3) Servizio ammirevole, ma mi viene in mente la stessa domanda ogni volta che utilizzo servizi simili a OpenDNS: "Dal momento che il servizio è gratuito, che cosa ci guadagnano le aziende che lo offrono?" Si tratta solo di un ritorno di immagine per vendere prodotti HW più sofisticati e, stavolta, a pagamento?

L'azienda guadagna dalla pubblicita' che viene mostrata col loro motore di ricerca quando cerchi di visitare un sito con indirizzo errato. :)

ed io ripeto

nessuna banca o simile ti manda e-mail chiedendoti di inserire i dati di login

Bisogna capirle questo. L'inganno parte da lì.

Finché la gente non capirà che se una mail ti offre 500 euro o un telefono gratis in cambio dei tuoi dati di login allora il phishing continuerà.
Si autoalimenta come gli appelli bufala sui virus che bruciano il settore zero dell'hard disk.

Io non ho bisogno che l'antiphishing di Thunderbird o di Firefox mi avvisino che un sito è truffaldino

E io ripeto che la tipologia di phishing cui ti riferisci e' la piu' semplice ed oggi ci sono metodi ben piu' intelligenti per ingannare l'utente.

Ho letto la discussione indicata: proprio in quella discussione, stamattina ho fornito il mio contributo sulla gestione del file HOSTS (vedi post N. 25). Mi farebbe piacere sapere che cosa ne pensi.

PS: "semplice" soluzione batch? Forse ho sbagliato a scaricare il file ZIP (anzi, HostsWebFilter.RAR) che risulta di quasi 5 MB e contiene decine e decine di file...

Contiene anche la versione portable di IzArc per scompattare lo .zip ;)

SuperSandro

29-11-2007, 11:32

Sisupoika

29-11-2007, 13:33

A proposito di nuove tecniche, stamane ho esaminato l'indirizzo di un Phishing di Poste.it. Dall'immagine che allego, evidentemente hanno escogitato una qualche tecnica che impedisce di esaminare il file HTML.

Chi se la sente, può visitare quel sito web ed esaminarne la home page (a suo rischio e pericolo...)

E' uno dei motivi per cui ritengo spesso che questi programmi di controllo siano meno utili di quanto non si pensi :D

Nessuna particolare "tecnica".
Una volta trovate informazioni come indirizzi IP, host headers ecc dei server da cui partono le verifiche per LinkScanner e altri sistemi simili, e' fin troppo semplice bloccarli nell'applicazione web che effettua l'attacco phishing in modo che quei servizi non possano accedervi e, dunque, non possano rilevarne il contenuto e le intenzioni.
Inoltre non lasciarti ingannare dall'estensione .htm: sembrerebbe una normale ed innocua pagina statica ma puo' non esserlo. E' semplicissimo infatti configurare il web server per processare (ASP/.NET/PHP ecc) anche file con estensioni normalmente usate per file html statici senza codice server (come appunto il controllo di ip, host headers, ecc.)

Questo e' un altro vantaggio di una soluzione come OpenDNS: se il sito non e' accessibile ad OpenDNS per via di questo tipo di blocco, neanche l'utente puo' visitarlo, quindi rimane al sicuro.
Inoltre OpenDNS, una volta individuato un sito maligno, semplicemente cambia la entry nel cluster DNS cosi' che se l'utente fa una richiesta per quel sito, e' semplicemente rediretto automaticamente ad una pagina di avviso di OpenDNS; non avviene nessuna ulteriore richiesta al sito maligno.

xcdegasp

29-11-2007, 14:12

uso da tempo i server OpenDNS ma non sapevo che inglobassero questa utilissima funzione o almeno non ci avevo mai fatto caso :D

grazie della dritta sisupoika ;)

Sisupoika

29-11-2007, 14:22

uso da tempo i server OpenDNS ma non sapevo che inglobassero questa utilissima funzione o almeno non ci avevo mai fatto caso :D

grazie della dritta sisupoika ;)

inoltre (from Wikipedia)

Other features include a phishing filter and typo correction (for example, typing wikipedia.og instead of wikipedia.org). By collecting a list of malicious sites, OpenDNS blocks access to these sites when a user tries to access them through their service. OpenDNS recently launched Phishtank, where users around the world can submit and review suspected phishing sites.

Sisupoika

29-11-2007, 14:23

http://www.opendns.com/features/overview/

OpenDNS operates and uses PhishTank, the Web's most trusted source of phishing data. PhishTank is so good, Yahoo! Mail uses its data to protect all account holders. The site works by having real people look at suspected phishing scams and verify their legitimacy.

Un'altra chicca sono gli shortcuts, utilissimi

http://img140.imageshack.us/img140/5964/20071129133233ut8.jpg

bettarinho

29-11-2007, 14:43

SuperSandro

30-11-2007, 18:56

... Questo e' un altro vantaggio di una soluzione come OpenDNS: se il sito non e' accessibile ad OpenDNS per via di questo tipo di blocco, neanche l'utente puo' visitarlo, quindi rimane al sicuro. Inoltre OpenDNS, una volta individuato un sito maligno, semplicemente cambia la entry nel cluster DNS cosi' che se l'utente fa una richiesta per quel sito, e' semplicemente rediretto automaticamente ad una pagina di avviso di OpenDNS; non avviene nessuna ulteriore richiesta al sito maligno.

Ho fatto due esperimenti, che ora descrivo:

Primo esperimento:

1) Ho ricevuto una mail phishing della Banca di Vicenza. Ho fatto esaminare l'indirizzo (nascosto) a LinkScanner e il risultato lo vedete nell'immagine allegata (a proposito, Sisupoika, come hai fatto a inserire la schermata nel tuo Post? Io sto qui ad arrabattarmi per ridurre le dimensioni...).

2) Ho impostato i valori DNS come suggerito (208.67.222.222 e 208.67.220.220), quindi ho resettato, ho controllato che fossero ancora impostati, poi ho aperto IE "attraverso" Sandboxie (non si sa mai...) e ho digitato nuovamente l'indirizzo.

3) Se non ho capito male, a questo punto OpenDNS avrebbe dovuto intercettare il sito phishing e bloccarlo. Invece è apparso in tutto il suo splendore.

4) Vincendo un certo timore, ho aperto IE senza preser... in modo normale (cioè dopo essere uscito da Sandboxie e aprendo IE nel solito modo). Idem come sopra: il sito phishing compare senza problemi.

Secondo esperimento:

1) Come suggerito su OpenDNS, digito playboy.com e mi aspetto di trovare il blocco di accesso.

2) L'accesso al sito, in effetti, viene bloccato, ma da SiteHound (di FireTrust uno dei tantissimi programmi che uso per proteggere il PC). Non avrebbe dovuto agire prima OpenDNS?

A questo punto, penso di non aver capito bene la procedura. Dipende forse dal fatto che ho installato un modem-router ADSL?

Sisupoika

30-11-2007, 19:43

3) Se non ho capito male, a questo punto OpenDNS avrebbe dovuto intercettare il sito phishing e bloccarlo. Invece è apparso in tutto il suo splendore.

Sei sicuro che OpenDNS sia correttamente attivo?
Prova il sito di test www.internetbadguys.com
Cosa ti appare?

Secondo esperimento:

1) Come suggerito su OpenDNS, digito playboy.com e mi aspetto di trovare il blocco di accesso.

2) L'accesso al sito, in effetti, viene bloccato, ma da SiteHound (di FireTrust uno dei tantissimi programmi che uso per proteggere il PC). Non avrebbe dovuto agire prima OpenDNS?

Infatti. Se non te lo blocca e' la conferma che qualcosa e' andato storto.
Dopo aver cambiato i DNS e' anche eseguire

Start >> Run >> ipconfig /flushdns

Riprova e fammi sapere.

A questo punto, penso di non aver capito bene la procedura. Dipende forse dal fatto che ho installato un modem-router ADSL?

Se hai cambiato i DNS nelle proprieta' della connessione che usi per navigare in Internet, allora non importano le impostazioni di router ecc.
Anche se io di solito preferisco mettere OpenDNS nella configurazione del router direttamente.

Sisupoika, come hai fatto a inserire la schermata nel tuo Post?

Usa un servizio di image sharing come www.imageshack.us e poi clicca sul pulsante http://www.hwupgrade.it/forum/images_hwu/editor/insertimage.gif qui del forum per inserire l'immagine. :)

SuperSandro

01-12-2007, 08:55

Sei sicuro che OpenDNS sia correttamente attivo? Prova il sito di test www.internetbadguys.com Cosa ti appare?
Mi appare la schermata dove c'è "Welcome to OpenDNS" L'avevo già fatto: prima di un reset, infatti, compariva un messaggio (se ricordo bene) del tipo "Qualcosa non è a posto: riprova".

Infatti. Se non te lo blocca e' la conferma che qualcosa e' andato storto.
Dopo aver cambiato i DNS e' anche eseguire
Start >> Run >> ipconfig /flushdns
Riprova e fammi sapere.

Questa immagine...
http://img152.imageshack.us/img152/4192/20071201ipconfigiq5.jpg (http://imageshack.us)

...compare sia prima di impostare 208.67.222.222 e 208.67.220.220 sia dopo (ovviamente facendo seguire un reset).

Se hai cambiato i DNS nelle proprieta' della connessione che usi per navigare in Internet, allora non importano le impostazioni di router ecc. Anche se io di solito preferisco mettere OpenDNS nella configurazione del router direttamente.

Non ho cambiato nulla: l'unica impostazione che ho modificato è stata l'attivazione del firewall del modem/router (che si solito è off di default, penso per facilitare le prime connessioni).

Usa un servizio di image sharing come www.imageshack.us e poi clicca sul pulsante http://www.hwupgrade.it/forum/images_hwu/editor/insertimage.gif qui del forum per inserire l'immagine.

Wow! Funziona! :D

xcdegasp

01-12-2007, 11:33

Sei sicuro che OpenDNS sia correttamente attivo?
Prova il sito di test www.internetbadguys.com
Cosa ti appare?

è la prima volta che mi appare questa notifica di "Sito fraudolento" :D

Sisupoika

01-12-2007, 12:19

Mi appare la schermata dove c'è "Welcome to OpenDNS" L'avevo già fatto: prima di un reset, infatti, compariva un messaggio (se ricordo bene) del tipo "Qualcosa non è a posto: riprova".

Allora e' la conferma che non e' a posto. Dovrebbe comparirti il messaggio "Phishing Site Blocked" come mostrato nello screenshot che ho preso dal mio computer.

Hai fatto cosi?

http://img88.imageshack.us/img88/3838/01jc2.jpg
http://img156.imageshack.us/img156/1633/02ly5.jpg
http://img412.imageshack.us/img412/3039/03yk4.jpg

Dopo questa procedura, prova IPCONFIG /FLUSHDNS e svuota cache e history del browser, chiudilo, riaprilo, e riprova.

Se anche cosi' non va prova a disabilitare la connessione e riabilitarla in seguito.

Questa immagine...
http://img152.imageshack.us/img152/4192/20071201ipconfigiq5.jpg (http://imageshack.us)

...compare sia prima di impostare 208.67.222.222 e 208.67.220.220 sia dopo (ovviamente facendo seguire un reset).

Probabilmente e' dovuto al fatto che il servizio DNSClient e' fermo.
Fai cosi'

Start >> Run >> REG ADD HKLM\SYSTEM\CurrentControlSet\Services\Dnscache /V Start /T REG_DWORD /F /D 2

e riavvia Windows. Riprova e fammi sapere.

è la prima volta che mi appare questa notifica di "Sito fraudolento" :D

Attento, e' pericoloso :D

SuperSandro

02-12-2007, 11:11

... Allora e' la conferma che non e' a posto. Dovrebbe comparirti il messaggio "Phishing Site Blocked" come mostrato nello screenshot che ho preso dal mio computer. Hai fatto cosi?

Un momento: intendevi questo?

http://img91.imageshack.us/img91/4561/20071202phishingblockedme2.jpg (http://imageshack.us)
By supersandro (http://profile.imageshack.us/user/supersandro)

...allora sì, l'ho fatto. Ma tentando playboy.com compare il blocco generato da SiteHound.

... Dopo questa procedura, prova IPCONFIG /FLUSHDNS e svuota cache e history del browser, chiudilo, riaprilo, e riprova.
..e no! Sono abituato a conservare la cache. E comunque, perché mai la cancellazione della cache e della history dovrebbe agevolare la procedura?

... Se anche cosi' non va prova a disabilitare la connessione e riabilitarla in seguito.
Lo faccio praticamente sempre: quando spengo il PC spengo tutto (monitor, modem/router, stampante, ecc.)

... Probabilmente e' dovuto al fatto che il servizio DNSClient e' fermo.
Fai cosi'

Start >> Run >> REG ADD HKLM\SYSTEM\CurrentControlSet\Services\Dnscache /V Start /T REG_DWORD /F /D 2

e riavvia Windows. Riprova e fammi sapere.
...uhm... prima di intervenire sul registro vorrei saperne di più.

... Attento, e' pericoloso :D
Perchè? Penso che si riferisca alla schermata in cima a questo Post.

SuperSandro

02-12-2007, 18:32

Visto che non hai ancora risposto, aggiungo queste due immagini:

La prima....

http://img148.imageshack.us/img148/8927/20071202parametriaiu6.jpg (http://imageshack.us)
By supersandro (http://profile.imageshack.us/user/supersandro)

...e la seconda:

http://img146.imageshack.us/img146/6361/20071202parametribnr4.jpg (http://imageshack.us)
By supersandro (http://profile.imageshack.us/user/supersandro)

E' qui l'inghippo? :help:

Sisupoika

04-12-2007, 12:44

Un momento: intendevi questo?
...allora sì, l'ho fatto. Ma tentando playboy.com compare il blocco generato da SiteHound.

Normale se hai un tool anti phishing anche sul tuo pc.

..e no! Sono abituato a conservare la cache. E comunque, perché mai la cancellazione della cache e della history dovrebbe agevolare la procedura?

Cancellare la cache non comporta problemi di alcun tipo, non vedo perche' esservi cosi' affezionato :D
Il browser cerca di velocizzare il caricamento delle pagine verificando, prima di effettuare la richiesta al DNS, se c'e' gia' nella cache/history una pagina precedentemente caricata dal dominio del sito che si sta per visitare.
Se e' presente una entry in tal senso (a meno che il browser stia facendo il "rinfresco" della richiesta per verificare se quel dominio corrisponde ancora all'indirizzo IP precedentemente usato) il browser evita la richiesta al DNS e tenta gia' di caricare la pagina (richiesta dall'utente) dall'IP salvato con una precedente richiesta in cache. Internet Explorer per esempio e' famoso tra gli sviluppatori perche' fa cache anche di risoluzioni DNS che terminano con errori di vario tipo ("bad DNS caching" comunque risolvibile con una piccola modifica al registro), mentre firefox, opera ecc no.
Cosa ha questo a che fare con OpenDNS?
Semplice.
Mettiamo che prima di aver settato OpenDNS perfettamente funzionante, tu abbia gia' visitato il sito www.playboy.com (o che - come nel tuo caso - tu abbia un altro anti phishing software che interferisce con OpenDNS).
Il browser avra' in cache una entry per la risoluzione DNS dell'indirizzo www.playboy.com avente come IP 216.163.137.3.
Anche se configuri OpenDNS correttamente, se non fai il "flushing" della cache DNS quel sito non verra' immediatamente bloccato da OpenDNS nelle visite successive ad esso, perche' il browser quasi certamente almeno per 15 minuti (default cache expiration in Windows) conservera', per www.playboy.com, il suo indirizzo effettivo che e' 216.163.137.3, per cui vedrai comparire il sito senza problemi (simile discorso con siti di phishing che non ti vengono ancora bloccati da OpenDNS).
Il flushing della cache richiede un primo passaggio fondamentale:
ipconfig /flushdns
ed un secondo che non lo e' ma che accelera e facilita i cambiamenti:
cancellare cache e history del browser.
Cosi' facendo, quando il chiedi al browser di aprire nuovamente www.playboy.com, il browser non avra' una entry in cache per quel sito, quindi sara' costretto a fare una richiesta al server DNS che - se l'hai cambiato - sara' OpenDNS.
OpenDNS allora trovera' nel suo database che www.playboy.com apppartiene ad una categoria ristretta da bloccare, percio' dira' al browser di aprire la pagina richiesta non da 216.163.137.3 - indirizzo di www.playboy.com - ma da 208.69.32.136, che e' invece un indirizzo di OpenDNS con l'avviso per l'utente che quel sito e' bloccato.
Spero sia chiaro :)

...uhm... prima di intervenire sul registro vorrei saperne di più.

Serve semplicemente a correggere le impostazioni del servizio DNSClient di Windows, e permetterti di fare flush nella cache DNS.

Perchè? Penso che si riferisca alla schermata in cima a questo Post.

Scherzavo

Visto che non hai ancora risposto, aggiungo queste due immagini:

La prima....

Ignora pure le impostazioni del mio router. Io uso un IP statico sulla mia macchina, questo non c'entra coi DNS.

...e la seconda:

E' qui l'inghippo? :help:

No, non importa quale DNS e' settato nel tuo router se configuri OpenDNS direttamente nella connessione di rete sul pc.
Anche se di solito io preferisco configurare il router per usare OpenDNS di default.

Sisupoika

04-12-2007, 12:50

Aggiornamento: il sito da te segnalato veniva bloccato da OpenDNS ma adesso sembra i contenuti del phishing siano stati rimossi.
Cmq PhishTank (il database di OpenDNS) riporta:

http://img152.imageshack.us/img152/9927/20071204114700en4.jpg

SuperSandro

05-12-2007, 09:10

... Il flushing della cache richiede un primo passaggio fondamentale:
ipconfig /flushdns
Anzitutto, grazie della pazienza (...e complimenti per le competenze :D ).
Prima di passare all'azione vorrei chiederti due ultime(!) cose:

1) Se tutto è in ordine, che "risposta" dovrebbe comparire quando eseguo il comando ipconfig /flushdns ?

2) Quando impartirò il comando REG ADD HKLM\SYSTEM\CurrentControlSet\Services\Dnscache /V Start /T REG_DWORD /F /D 2 dove verrà esattamente inserita la nuova voce del registro? Ho infatti eseguito una ricerca all'interno del registro, ma le uniche cartelle in cui è presente HKLM sono HKLM\SOFTWARE\Microsoft (eccetera) all'interno di Uninstall.
Esempio:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\KB943460

Sisupoika

05-12-2007, 11:24

Anzitutto, grazie della pazienza

Figurati :)

1) Se tutto è in ordine, che "risposta" dovrebbe comparire quando eseguo il comando ipconfig /flushdns ?

Dovresti vedere qualcosa del genere

http://www.flatheadelectric.com/billmeter/e-bill/ipconfig.jpg

2) Quando impartirò il comando REG ADD HKLM\SYSTEM\CurrentControlSet\Services\Dnscache /V Start /T REG_DWORD /F /D 2 dove verrà esattamente inserita la nuova voce del registro? Ho infatti eseguito una ricerca all'interno del registro, ma le uniche cartelle in cui è presente HKLM sono HKLM\SOFTWARE\Microsoft (eccetera) all'interno di Uninstall.
Esempio:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\KB943460

HKLM sta per HKEY_LOCAL_MACHINE ;)

SuperSandro

06-12-2007, 09:21

HKLM sta per HKEY_LOCAL_MACHINE ;)
Ah! :doh:

Comunque, siccome sono masochista (ma anche curioso) ho seguito questo percorso:

1) Dopo aver individuato la chiave di registro che mi hai indicato mi sono detto: "Hei, ma questo è uno dei servizi di Windows!"

http://img147.imageshack.us/img147/6026/20071206serviziodns1iz4.jpg (http://imageshack.us)

2) Ho quindi aperto Gestione Computer per individuarlo "alla fonte"

http://img530.imageshack.us/img530/1002/20071206serviziodns2vs9.jpg (http://imageshack.us)

3) In effetti (Proprietà) risultava bloccato. L'ho quindi attivato premendo poi il pulsante Avvia (in figura è disabilitato perché lo screenshot è successivo).

http://img530.imageshack.us/img530/295/20071206serviziodns3zf3.jpg (http://imageshack.us)

4) Wow! Funziona. Però...

http://img530.imageshack.us/img530/8684/20071206serviziodns4gj1.jpg (http://imageshack.us)

5) ...però cercando di andare sul sito Phishing interviene direttamente il Centro Sicurezza di Windows (vedi immagine) mentre Playboy continua a essere intercettato da SiteHound.

http://img530.imageshack.us/img530/1623/20071206serviziodns5ex6.jpg (http://imageshack.us)

6) (continua...)

Sisupoika

06-12-2007, 12:17

Ciao Supersandro,

Si', DNSClient e' un servizio e come tale puoi avviarlo (e' anche piu' semplice) direttamente dalla console dei servizi di Windows; ma ho preferito passarti la modifica da fare nel registro perche' spesso quella chiave non esiste quando DNSClient e' fermo per qualche ragione.
Nel tuo caso il servizio DNSClient era correttamente installato, ma semplicemente disattivato. :)

Il fatto che SiteHound blocca il sito prima che lo visualizzi e' perche' esso interviene prima che il browser effettui la richiesta DNS, quindi prima del blocco di OpenDNS.
Al fine di bloccare il sito di phishing, non cambia nulla a seconda dell'ordine, ma se continui ad usare uno di questi tools e' normale che tu non arriva alla pagina di blocco di OpenDNS (sempre che SiteHound etc riconoscano il phishing).
Prova a disabilitare SiteHound e gli altri, e vedrai il blocco di OpenDNS. :)

SuperSandro

06-12-2007, 19:32

...Il fatto che SiteHound blocca il sito prima che lo visualizzi e' perche' esso interviene prima che il browser effettui la richiesta DNS, quindi prima del blocco di OpenDNS...

Come hai sicuramente immaginato, 'sta faccenda mi intriga molto e trascende lo scopo iniziale di questa discussione. La questione si è un po' per volta trasformata in "Come funziona un sistema antiphing?". Per quanto riguarda Hosts e OpenDNS hai fornito un più che valido contributo.

Io, nel mio piccolo, desidero ampliare la discussione partendo proprio dai vari SW antiphishing installabili in un normale PC.

Dunque, come si può vedere da questa immagine...

http://img145.imageshack.us/img145/6963/20071206phishing2na2.jpg (http://imageshack.us)

...tra i vari programmi in avvio automatico sono presenti LinkScanner (di cui ho parlato all'inizio), PrevX (un programma che intercetta nuovi applicativi), SiteAdvisor (della McAfee), e Windows Defender. Inoltre sul PC sono attivi altri programmi, anch'essi impostati per essere aperti all'accensione: SysInternals TCPView (per monitorare costantemente la connessione), SpywareBlaster, Windows Worms Doors Cleaner (per limitare il numero di porte aperte), Finjan Secure Browsing (simile a SiteAdvisor), Netcraft (idem).
Il bello è che i programmi citati sono presenti nell'elenco di "Installazione applicazioni"...

http://img145.imageshack.us/img145/4548/20071206phishing3vb7.jpg (http://imageshack.us)

...qui riprodotto in schermata ridotta per ragioni di spazio, e anche in...

http://img145.imageshack.us/img145/9006/20071206phishing5tz1.jpg (http://imageshack.us)

...Process Explorer. Ma di SiteHound non c'è traccia! L'unico modo per rintracciarlo (a parte numerosissime "voci" in RegEdit) è in Start/Programmi/FireTrust/SiteHOund/Disinstalla. Eppure l'applicativo è attivo, tant'è vero che è il programma che, primo tra tutti, intercetta Playboy.com e lo blocca.
Domanda: dove "si nasconde" SiteHound? Possibile che non vi sia traccia da nessuna parte? Avevo deciso di rimuoverlo, ma prima di farlo mi piacerebbe risolvere questo problema. Nota: il programma, shareware, è legittimamente installato anche se, non avendo pagato la quota richiesta, ora offre un numero ridotto di funzioni.

Il fatto è che....

http://img230.imageshack.us/img230/3613/20071206phishing1pb5.jpg (http://imageshack.us)

...SiteHound agisce sul PC, tant'è vero che, facendo l'Update, sembra che i file vengano scaricati: non è quindi un filtro su un server esterno, come SiteAdvisor e altri che, infatti, non richiedono aggiornamento.

Un'ultima considerazione: come ho già detto, cercando di accedere a Playboy.com interviene la schermata di SiteHound che ne sconsiglia l'accesso. Scegliendo, però, di accedere al sito nonostante l'allarme, a questo punto dovrebbe intervenire il filtro di OpenDNS. Ciò invece non avviene e il sito di Playboy appare senza alcun impedimento(*).

OpenDNS non dovrebbe, invece, costituire il filtro successivo a filtri SW installati su un PC e quindi impedire l'accesso oppure, quanto meno, suggerire di non accedere?

(*) Però, che belle figliole ci sono su Playboy.com... :oink: