Ieri ho scambiato un po' di idee sulla vicenda Hacking Team con Antonio Forzieri, esperto di sicurezza di Symantec. Tornerò in un prossimo articolo sull'approccio di Symantec a casi come questo, ma intanto volevo anticipare un argomento particolare fra i tanti che abbiamo toccato: entrambi ci siamo trovati perplessi di fronte alla presenza, fra i file trafugati a uno degli amministratori di sistema di Hacking Team, di un file di testo contenente un elenco di link a video pornografici, come vedete parzialmente qui accanto e come descritto in dettaglio in questo mio articolo.

Questo file ha suscitato molta ilarità in Rete, ma le risate hanno forse messo in secondo piano una domanda: che senso ha avere un file del genere? Una ipotesi è che si tratti di un file aggiunto dagli intrusi per ridicolizzare Hacking Team, e in effetti la strategia di far sembrare l'azienda un covo di pornomani dilettanti sembra aver avuto un certo effetto mediatico.

Ma c'è un'altra ipotesi che Forzieri e io abbiamo considerato e che i dati di Wikileaks rilasciati oggi sembrano supportare: l'elenco di link sarebbe legato a uno dei metodi d'infezione usati da Hacking Team.

Una ricerca nell'archivio Wikileaks usando il nome di uno dei siti pornografici citato nell'elenco porta infatti a un fitto scambio di mail del supporto tecnico di Hacking Team. In queste mail si parla di un “Network Injector” di nome INJECT-HTML-FLASH. che avrebbe effetto su un numero notevole di siti di video, quasi tutti pornografici e tutti basati su Flash. Youtube ne sarebbe immune:

INJECT-HTML-FLASH supported sites:
1) http://www.youtube.com (NO HTTPS)
2) http://www.veoh.com
3) http://www.metacafe.com
4) http://www.dailymotion.com
5) http://www.break.com
6) http://www.youporn.com
7) http://www.pornhub.com
8) http://www.xhamster.com
9) http://www.xvideos.com
10) http://www.porn.com
11) http://www.xnxx.com

Unfortunately youtube might not work, because they started the migration to https,
for this reason sometimes it works and sometimes it doesn't.
These are other sites which are currently supported:
www.veoh.com
www.metacafe.com
www.dailymotion.com
www.youporn.com

(fonte: fonte)

I visitatori di questi siti non si facciano prendere dal panico, comunque: da alcuni di questi messaggi sembra proprio che non si tratti di un attacco che infetta tutti quelli che guardano questi siti o quei video specifici e che non ci sia alcuna violazione dei siti stessi. In realtà si tratterebbe di una tecnica che consiste nell'intercettare la connessione a Internet del bersaglio e alterarne il contenuto, in modo che il bersaglio (e solo il bersaglio) riceva una versione alterata del video che contiene un attacco basato su una falla di Adobe Flash:

Ogni volta che va l'attacco inject flash dovrebbe esserci subito dopo anche una replace (significa che con inject flash il video e' stato sostituito mentre con la replace dopo il target ha scaricato il flash con la backdoor).

In altre parole, potrebbe esserci una giustificazione per nulla ridicola per la presenza di quei link a luci rosse. Meglio quindi non considerarla come prova dell'inettitudine del personale di Hacking Team.