Pages:
Author

Topic: rubati 24 bitcoin su bitstam. 2FA+password lunga 20 + email di conferma prelievo - page 4. (Read 8770 times)

full member
Activity: 162
Merit: 100
Fai un backup del disco intanto, poi se qualcun* ha suggerimenti (ma ormai non vedo cosa si possa fare) puoi lavorare su quello.
Non volevo essere scortese, eh?  Wink
Lo sei stato! ma mi hai fatto anche molto ridere  Grin

Non sono riuscito a frenare la mia avversione per Apple  Cheesy
winsdoz?
hero member
Activity: 644
Merit: 504
Fai un backup del disco intanto, poi se qualcun* ha suggerimenti (ma ormai non vedo cosa si possa fare) puoi lavorare su quello.
Non volevo essere scortese, eh?  Wink
Lo sei stato! ma mi hai fatto anche molto ridere  Grin

Non sono riuscito a frenare la mia avversione per Apple  Cheesy
full member
Activity: 162
Merit: 100
Fai un backup del disco intanto, poi se qualcun* ha suggerimenti (ma ormai non vedo cosa si possa fare) puoi lavorare su quello.
Non volevo essere scortese, eh?  Wink
Lo sei stato! ma mi hai fatto anche molto ridere  Grin
full member
Activity: 162
Merit: 100
Stavo giusto leggendo e l' unica cosa che mi viene in mente è che abbiano avuto accesso al cellulare o ad un backup dello stesso. [...]

Trafugando i file di configurazione del 2FA e della casella email, il resto è un gioco da ragazzi
Sì, sembra evidente anche a me che è stato il cellulare a venir compromesso.
Converrebbe davvero usare una yubikey per LastPass, quasi quasi provvedo anch'io.
E... la password dell'email dev'essere custodita molto più gelosamente, ovvero non deve essere salvata "da nessuna parte"™.


Se é vero che é necessario l'accesso Root per avere accesso ai file di Google Authenticator questo non può essere avvenuto.

Io HO la yubikey per Lastpass e ANCHE Google Authenticator. Sul telefono non potendo usare la yubikey ti fanno usare Google authenticator se l'hai abilitato. Io sono in questa situazione: uso yubikey sui Mac e Google authenticator sul telefono per lastpass. Questo da mesi. In teoria non sono vulnerabile ai keylogger per lastpass ma se un programma riesce a intercettare il passaggio di credenziali su MAC (bitstealth?) allora quelle sono compromesse.

Le credenziali di gmail NON le ho scritte da nessuna parte ma l'app su telefonino te le memorizza. gmail dell'azienda é l'unica cosa che non avevo sotto 2FA.

hero member
Activity: 644
Merit: 504
Fai un backup del disco intanto, poi se qualcun* ha suggerimenti (ma ormai non vedo cosa si possa fare) puoi lavorare su quello.
Non volevo essere scortese, eh?  Wink
full member
Activity: 162
Merit: 100


Some steps were taken by the malware author to disguise the inner workings of OSX/CoinThief.A from casual analysis. The browser extensions were given the generic name of "Pop-Up Blocker" and show a similarly generic description of "Blocks pop-up windows and other annoyances."

Guardate un pò anche dopo "la cura" cosa mi compare ogni volta che apro Safari:



E' evidente che "il malaware" non funziona più al suo meglio ma il messaggio segnala che era quantomeno presente. Mi sa che formatto il disco e reinstallo l'OS.

Se avete suggerimenti per altre analisi su questo MAc fatemelo sapere in fretta non posso più vedere questo OS.... Sad



Grazie. rincuorante e prezioso... Quasi quasi mi ci metto anch'io... Grin Cry Grin Cry (non so se si é capito ma non so se piangere o ridere).
legendary
Activity: 2884
Merit: 1117
Ma usare un software tipo TrueCrypt per mettere al sicuro quantomeno la password?
Un'altro punto debole è l'email, secondo me. Anche l'email aveva una password decentemente potente?
hero member
Activity: 630
Merit: 500
Bitgoblin
Stavo giusto leggendo e l' unica cosa che mi viene in mente è che abbiano avuto accesso al cellulare o ad un backup dello stesso. [...]

Trafugando i file di configurazione del 2FA e della casella email, il resto è un gioco da ragazzi
Sì, sembra evidente anche a me che è stato il cellulare a venir compromesso.
Converrebbe davvero usare una yubikey per LastPass, quasi quasi provvedo anch'io.
E... la password dell'email dev'essere custodita molto più gelosamente, ovvero non deve essere salvata "da nessuna parte"™.
hero member
Activity: 644
Merit: 504


Some steps were taken by the malware author to disguise the inner workings of OSX/CoinThief.A from casual analysis. The browser extensions were given the generic name of "Pop-Up Blocker" and show a similarly generic description of "Blocks pop-up windows and other annoyances."

Guardate un pò anche dopo "la cura" cosa mi compare ogni volta che apro Safari:



E' evidente che "il malaware" non funziona più al suo meglio ma il messaggio segnala che era quantomeno presente. Mi sa che formatto il disco e reinstallo l'OS.

Se avete suggerimenti per altre analisi su questo MAc fatemelo sapere in fretta non posso più vedere questo OS.... Sad

hero member
Activity: 644
Merit: 504
Grazie alla vostra tenacia altre cose mi vengono in mente.
...

Ti hanno spremuto come un limone  Wink
full member
Activity: 162
Merit: 100


Some steps were taken by the malware author to disguise the inner workings of OSX/CoinThief.A from casual analysis. The browser extensions were given the generic name of "Pop-Up Blocker" and show a similarly generic description of "Blocks pop-up windows and other annoyances."

Guardate un pò anche dopo "la cura" cosa mi compare ogni volta che apro Safari:



E' evidente che "il malaware" non funziona più al suo meglio ma il messaggio segnala che era quantomeno presente. Mi sa che formatto il disco e reinstallo l'OS.

Se avete suggerimenti per altre analisi su questo MAc fatemelo sapere in fretta non posso più vedere questo OS.... Sad
hero member
Activity: 644
Merit: 504
non mi risulta si possa fare un backup del programma senza root....


No no. Non devi fare un backup del programma, ma solo del file dati. Viene backup-appato anche con la semplice synch, ed è raggiungibile browsando il cell con il cavo usb.

FaSan


mmmhhh Google authenticator che io sappia non ha la possibilità di essere Backuppato nè sincronizzato.

Tutte le volte che ho rotto o perso il telefono ho dovuto ripristinare tutti i codici di Google authenticator.
...

Quante volte, figliolo?  Roll Eyes
full member
Activity: 162
Merit: 100
Grazie alla vostra tenacia altre cose mi vengono in mente.
La più importante é che settimane fa sono stato vittima anch'io del famigerato "StealthBit".
Un app "open source" su github che permetteva di testare gli "Stealth Address" (un possibile futuro per la privacy nell'utilizzo dei pagamenti).
Nella realtà accanto ai sorgenti (probabilmente innocui) lo sviluppatore (poi sparito) metteva a disposizione la "la comoda" versione binaria che io ho prontamente installato (proprio su questo mac dal quale vi scrivo).

Come potete leggere in inglese qui sotto l'applicazione fa quello che deve fare ma ha anche una componente che installa estensioni per i browser che trasmettono le vostre credenziali di login ed era stato disegnato (sembra) particolarmente per BTC-E e Mt.Gox (a questo punto direi che probabilmente con Bitstamp non se la cavava maluccio).

La ragione per cui me ne ero quasi scordato é che la notizia era uscita quasi subito come la cura da applicare (http://www.securemac.com/Remove-CoinThief-Trojan-Horse-Instructions.php) ma é evidente che questo é stato l'errore più grosso che ho commesso e la cura é stata insufficiente (o tardiva).

Grazie a Trigun ho ripensato al MAC.

La cosa che rimane inspiegabile é che sono partito da casa alle 14:00 e l'attacco é avvenuto verso le 21:00 (bitstamp é indietro di un'ora rispetto all'Italia) Quindi se anche lo username e la password ce l'avevano da cosa cazzo hanno intercettato il codice di sei cifre???


Riporto sotto l'interssante articolo che avrei dovuto leggere molto meglio.
Tratto da: http://www.securemac.com/CoinThief-BitCoin-Trojan-Horse-MacOSX.php
SecureMac has discovered a new Trojan Horse called OSX/CoinThief.A, which targets Mac OS X and spies on web traffic to steal Bitcoins. This malware has been found in the wild, and there are multiple user reports of stolen Bitcoins. The malware, which comes disguised as an app to send and receive payments on Bitcoin Stealth Addresses, instead covertly monitors all web browsing traffic in order to steal login credentials for Bitcoin wallets.

Initial infection occurs when a user installs and runs an app called "StealthBit," which was recently available for download on GitHub, a website that acts as a repository for open source code. The source code to StealthBit was originally posted on GitHub, along with a precompiled copy of the app for download. The precompiled version of StealthBit did not match a copy generated from the source code, as it contained a malicious payload. Users who downloaded and ran the precompiled version of StealthBit instead ended up with infected systems. A user posting over the weekend on Reddit, the popular discussion site, reported losing 20 Bitcoins (currently worth upwards of $12,000 USD) to the thieves.

Disguised as an app to send and receive payments on Bitcoin Stealth Addresses, OSX/CoinThief.A instead acts as a dropper and installs browser extensions that monitor all web browsing traffic, looking specifically for login credentials for many popular Bitcoin websites, including MtGox and BTC-e, as well as Bitcoin wallet sites like blockchain.info. When login credentials are identified, such as when a user logs in to check their Bitcoin wallet balance, another component of the malware then sends the information back to a remote server run by the malware authors.

Upon running the program for the first time, the malware installs browser extensions for Safari and the Google Chrome web browser, without alerting the user. The web browsers are tricked into thinking that the user intentionally installed the extensions, and give no warning to the user that all of their web browsing traffic is now being monitored by the malicious extensions. Additionally, the malware installs a program that continually runs in the background, looking for Bitcoin wallet login credentials, which are then sent back to a remote server. OSX/CoinThief.A can both send information to as well as receive commands from a remote server, including a functionality to update itself to newer versions from the malware author.

Information sent back to the server isn't limited to Bitcoin login credentials, but also includes the username and UUID (unique identifier) for the infected Mac, as well as the presence of a variety of Bitcoin-related apps on the system.

Some steps were taken by the malware author to disguise the inner workings of OSX/CoinThief.A from casual analysis. The browser extensions were given the generic name of "Pop-Up Blocker" and show a similarly generic description of "Blocks pop-up windows and other annoyances." The malware additionally checks to see if various security programs or code development tools are present on an infected system, which is sometimes done in an attempt to block security researchers from analyzing a piece of malware.
full member
Activity: 162
Merit: 100
Grazie. non sapevo che se il telefono non é rootato non puoi accedere ai dati di nessuna applicazione.

So però da Marco Barulli che é banale invece accedere alla clipboard.

Ad essere sinceri quando faccio login sul telefono con google authenticator ingenuamente copio spesso i codici nella clipboard e li incollo.
Mi viene in mente che sicuramente questo é possibile: se avevo un trojan che monitorava la clipboard in tempo reale i codici li ha rubati.

Rimane la password di bitstamp e di gmail.

full member
Activity: 168
Merit: 100

appurato che DEVONO aver avuto accesso al tuo pc per far quello che hanno fatto.. se tu non avessi avuto i dati dell'auth sul pc sarebbe stato impossibile ...
nel momento in cui su un dispositivo hai tutti i dati necessari per accedere... beh a quel punto dividere le cose è abbastanza inutile ^_^ (viene meno l'utilità della separazione)

Sinceramente davo per appurato l'accesso al mio telefono più che al mac in quanto lì avevo:
  • Google authenticator
  • Il browser di lastpass (da cui posso essermi collegato con Bitstamp anche a ridosso dell'hacking. mentre dal mac non mi collegavo dalla sera prima)
  • Il client gmail sempre collegato con la mia posta
  • Evernote (se mai fosse stato necessario)

Anche il mac ha un fracco di informazioni sensibili (stasera tocca a lui la formattazione) ma non il client gmail e non Google authenticator.

Sicuramente avere due dispositivi separati é inutile se uno di questi dispone di tutte le informazioni necessarie. Non so cosa dire in verità... Siamo solo nel campo delle ipotesi.

il problema è che i "virus" per il telefono sono tutti inutili...
non possono fare nulla se non toccare foto e cose del genere... ma sicuramente non possono accedere al codice dell'authenticator quindi supporre il telefonino come punto debole la vedo abbastanza remota come possibilità ....
anche con un telefono rootato per accedere alle cartelle del sistema bisogna dargli l'ok a mano e un programma non riuscirebbe in ogni caso ad accedere alla cartella senza prima chiederti il consenso
ad es io ho fatto un programma che salva i messaggi di whatsapp e me li manda via mail... beh per far questo devo usare il BACKUP di whatsapp .. non posso in alcun modo accedere ai dati diretti di whatsapp (e leggere da li...) ma appunto devo aspettare il backup che viene creato in uno spazio accessibile pubblicamente (con un banale permesso di lettura/scrittura su memoria) e agire su quello....
se anche il telefono fosse rootato avrei dovuto dare al telefono il permesso di root e solo allora avrei potuto controllare il database di whatsapp per leggere i messaggi "freschi"..
full member
Activity: 162
Merit: 100
e cmq non capisco come faccia a funzionare il pi-wallet....
cioè è offline... quindi come fa a scaricare la blockchain e a fare transazioni ?

Sono d'accordo. La blockchain non é necessaria per electrum offline ma sapevo che Armory ha bisogno di bitcoind....

"We've pre-installed Bitcoin Armory on the Cold Pi along with bitaddress.org's source code. This will allow you to manage your coins, create paper-wallets and more.."

Nessuno ha esperienza in proposito?
full member
Activity: 162
Merit: 100

appurato che DEVONO aver avuto accesso al tuo pc per far quello che hanno fatto.. se tu non avessi avuto i dati dell'auth sul pc sarebbe stato impossibile ...
nel momento in cui su un dispositivo hai tutti i dati necessari per accedere... beh a quel punto dividere le cose è abbastanza inutile ^_^ (viene meno l'utilità della separazione)

Sinceramente davo per appurato l'accesso al mio telefono più che al mac in quanto lì avevo:
  • Google authenticator
  • Il browser di lastpass (da cui posso essermi collegato con Bitstamp anche a ridosso dell'hacking. mentre dal mac non mi collegavo dalla sera prima)
  • Il client gmail sempre collegato con la mia posta
  • Evernote (se mai fosse stato necessario)

Anche il mac ha un fracco di informazioni sensibili (stasera tocca a lui la formattazione) ma non il client gmail e non Google authenticator.

Sicuramente avere due dispositivi separati é inutile se uno di questi dispone di tutte le informazioni necessarie. Non so cosa dire in verità... Siamo solo nel campo delle ipotesi.
legendary
Activity: 3766
Merit: 1742
Join the world-leading crypto sportsbook NOW!
e cmq non capisco come faccia a funzionare il pi-wallet....
cioè è offline... quindi come fa a scaricare la blockchain e a fare transazioni ?

Firmi la transazione offline e poi fai il broadcast attraverso un pc connesso alla rete
newbie
Activity: 15
Merit: 0
è una cosa da matti... Le mie protezioni sono al tuo livello.. devo subito agire per migliorarle ancora! (e io che mi credevo al sicuro..)
full member
Activity: 168
Merit: 100
e cmq non capisco come faccia a funzionare il pi-wallet....
cioè è offline... quindi come fa a scaricare la blockchain e a fare transazioni ?
Pages:
Jump to: