Amazon Kindle: scoperta falla critica negli ebook (corretta)

Il Kindle potrebbe trasformarsi in un cavallo di Troia. Un hacker etico ha scoperto che un ebook contraffatto può aprire le porte dell’account Amazon, rubare i dati della carta di credito e comprare libri a spese del povero malcapitato. La buona notizia? Amazon ha già sistemato la falla. La cattiva? Anche un dispositivo pensato solo per leggere può essere vulnerabile.

Falla Kindle: ebook trappola rubano account Amazon e carte di credito

Valentino Ricotta, analista tecnico presso Thales, ha presentato l’exploit durante la Black Hat Convention di Londra. Ha creato un ebook dannoso che, una volta scaricato su un Kindle, gli ha permesso di infiltrarsi nell’account Amazon collegato. E ha comprato libri dallo store con la carta di credito della vittima, tutto con un solo clic.

Gli eReader sembrano dispositivi innocui, lontani anni luce dalle minacce informatiche che colpiscono smartphone e computer. Eppure anche loro hanno le loro crepe, e quando qualcuno ci infila dentro il piede giusto, può spalancare porte che non immaginavi nemmeno esistessero.

Il trucco sta nel modo in cui il Kindle processa i file. Quando si carica un libro, un audiolibro, un PDF o un’immagine, il sistema entra in modalità “parsing”: scansiona automaticamente il file per estrarre metadati come titolo e autore, poi converte tutto in un formato leggibile. È proprio in questa fase che l’hacker etico ha scovato il difetto.

E qui arriva il bello: è possibile caricare libri sul Kindle anche da venditori terzi, scaricandoli e trasferendoli via USB o tramite il sito web di Amazon. Significa che l’exploit può infettare il proprio dispositivo anche se non è connesso a Internet. Basta un cavo e un file maligno.

Ricotta ha spiegato che il difetto potrebbe essere trasformato in un’esecuzione di codice, permettendo a un hacker di far eseguire al Kindle le proprie istruzioni. E siccome i Kindle raramente vengono spenti o resettati come altri dispositivi, l’attacco può continuare a girare in background per giorni, settimane, mesi. L’eReader sul comodino diventa una minaccia dormiente.

Dal cookie rubato al controllo totale

Una volta che il codice dannoso viene eseguito, ottiene un accesso limitato ma sufficiente per rubare i cookie di sessione Amazon che mantengono connessi. Con quei cookie, un hacker può accedere all’account senza bisogno della password. Ed è fatta.

Ricotta ha dimostrato come, concatenando la prima falla a una seconda vulnerabilità, sia riuscito a ottenere il controllo completo del dispositivo, inclusa la possibilità di usare la tastiera su schermo. A quel punto, il Kindle è una marionetta nelle mani di chi ha creato l’ebook trappola.

Amazon ha già chiuso la porta

Ricotta ha informato Amazon delle vulnerabilità prima della presentazione. L’azienda le ha classificate come critiche e le ha risolte. Per la scoperta, Ricotta ha ricevuto un “bug bounty” di 20.000 dollari, che dice di aver donato in beneficenza.

Un portavoce di Amazon ha confermato: Abbiamo identificato e risolto le vulnerabilità che interessavano gli e-reader Kindle e la funzionalità Audible su questi dispositivi. Tutti i dispositivi interessati hanno ricevuto aggiornamenti automatici che risolvono questi problemi. Non ci sono prove che la vulnerabilità sia stata sfruttata attivamente al di fuori dei test dell’hacker etico.

Come nota Cybernews, questa falla ricorda molto quella scoperta nel 2020 dal ricercatore di sicurezza Yogev Bar-On. Anche quell’exploit, chiamato “KindleDrip“, sfruttava il codice nel parsing e nella funzione “Invia a Kindle”. Bar-On ricevette 18.000 dollari per la scoperta, e Amazon corresse il problema subito dopo.

Due exploit simili in pochi anni. Uno schema che si ripete. Il parsing resta un punto debole, e gli ebook contraffatti continuano a essere il veicolo perfetto per nascondere codice dannoso.

Come proteggersi?

Il filo conduttore degli exploit è legato ai titoli autopubblicati. Amazon permette agli autori di pubblicare autonomamente ebook e audiolibri, un’opportunità preziosa per chi vuole vendere le proprie storie senza passare per editori tradizionali. Ma questa porta aperta può essere sfruttata anche per introdurre codice maligno.

Prima di scaricare un ebook o un audiolibro, è consigliabile qualche ricerca sull’autore o sull’editore. Bisogna controllare valutazioni e recensioni, cercare informazioni per assicurarsi che esistano davvero. Meglio diffidare delle offerte di ebook gratuiti, a meno che non provengano da fonti affidabili come Libby (che attinge dalla propria biblioteca locale) o Project Gutenberg (che offre letteratura classica di dominio pubblico).

Inoltre, è bene evitare siti di terze parti, specialmente quelli mai visti prima. Il risparmio di qualche euro non vale il rischio di ritrovarsi con un account svuotato.