Roma – Diversi giorni fa il gruppo di hacker noto come Free-X aveva lanciato a Microsoft un ultimatum: o il big di Redmond gli forniva la firma digitale necessaria per far girare Linux su Xbox o avrebbe reso pubblica una falla nella sicurezza della console capace, a detta della crew, di aprire una nuova era nel cracking di Xbox.
Lo scorso fine settimana Free-X ha deciso di mettere in pratica la propria “minaccia” svelando, in un messaggio apparso su varie mailing-list, tutti i dettagli relativi ad un exploit, noto come “Fourth of July hack”, che permette di aggirare tutte le protezioni di Xbox senza alcun intervento a livello di hardware.
In una lettera , i membri di Free-X sostengono di aver scelto la strada del full-disclosure solo dopo aver più volte tentato, senza esito, di contattare Microsoft. L’obiettivo del team era quello di ottenere dal colosso di Redmond un bootloader firmato che consentisse a Linux di girare anche sulle Xbox prive di mod-chip. Un tentativo che in passato era già stato fatto , anche in questo caso senza successo, dall’Xbox Linux Project. Proprio quest’ultimo, nella propria home page, ha riconosciuto la validità dell’exploit proposto da Free-X spiegando che “è ora possibile installare Linux sull’hard disk in modo permanente, così che possa avviarsi ogni volta che si accende Xbox, e questo senza la necessità di aprire la console”.
L’hack di Free-X è capace, secondo gli esperti, di fare via software ciò che fino ad oggi si poteva ottenere solo attraverso l’installazione di un mod-chip: ovvero, far girare su Xbox software non firmato, come ad esempio Linux, programmi “fatti in casa” e giochi copiati. In realtà questa era una possibilità già permessa da un trucco che sfrutta un bug contenuto nei giochi 007 e Mechassault, una tecnica tuttavia poco pratica e con diverse limitazioni.
Stefan Esser, l’hacker che ha firmato l’advisory pubblicato negli scorsi giorni da Free-X, ha spiegato che la vulnerabilità di sicurezza scoperta in Xbox può essere sfruttata sostituendo, sul disco fisso della console, due font dei caratteri della MS Dashboard con una versione appositamente modificata: i due font, caricati ad ogni avvio della console, consentono l’esecuzione di qualsiasi codice non firmato, come ad esempio un bootloader (eventualmente memorizzato su CD o DVD) capace di caricare in automatico Linux.
Sebbene per copiare i due font sia ancora necessario “sbloccare” il disco di Xbox sfruttando la vulnerabilità di 007/Mechassault o sostituendo l’hard drive della console, il vantaggio è che questa procedura può essere fatta una sola volta. Gli hacker hanno poi spiegato che è ora possibile espellere il drive DVD senza che questo causi il riavvio automatico di Xbox.
Su alcuni dei più noti siti di hacking di Xbox sono già apparsi i primi bootloader capaci di caricare Linux o far girare qualsiasi software, inclusi giochi piratati.
Esser ha ammesso che Microsoft potrebbe tentare di aggiornare la Dashboard e correggere il bug attraverso le funzionalità di auto-update incluse in Xbox Live o l’inclusione di patch auto-installanti nei nuovi giochi. L’hacker afferma tuttavia che questo potrebbe non essere semplice visto che la falla dà il pieno controllo della console, e può essere sfruttata per prevenire l’upgrade del software.
“Microsoft – ha spiegato Esser – rilascerà una versione aggiornata di Xbox entro la fine dell’anno, tuttavia sarà in grado di correggere solo i problemi di cui è a conoscenza”. Un’affermazione che lascia presupporre come quella appena divulgata da Free-X non sia l’unica vulnerabilità scoperta nel software di Xbox. La cosa è plausibile visto che, a un giorno di distanza dall’annuncio di Free-X, un hacker che si fa chiamare Alex B ha svelato su xbox-scene.com un altro bug, questa volta relativo alla playlist di Xbox, che al pari del precedente può essere utilizzato per far girare sulla console di Microsoft qualsiasi software.
E’ possibile trovare tutte le notizie che Punto Informatico ha dedicato all’hacking di Xbox e a Xbox Linux in questa pagina del motore di ricerca.
-
Devoto Oli
"...stiamo provvedendo a *securizzare* ulteriormente il sistema web della Regione del Veneto..."Ho letto bene? Esiste "securizzare" in italiano?AnonimoRe: Devoto Oli
ostrega se esiste :)AnonimoRe: Devoto Oli
- Scritto da: Anonimo> "...stiamo provvedendo a *securizzare*> ulteriormente il sistema web della Regione> del Veneto..."> > Ho letto bene? Esiste "securizzare" in> italiano?adesso hanno cambiato, forse si sono resi conto..."Provvederemo nelle prossime ore a rimettere in linea il sistema. Stiamo provvedendo a nuove funzionalità, maggiori performance, e nuovi criteri di sicurezza."AnonimoRe: Devoto Oli
provate a fare un NMAP.. altro che securizzare........AnonimoRe: Devoto Oli
> "Provvederemo nelle prossime ore a rimettere> in linea il sistema. Stiamo provvedendo a > nuove funzionalità, maggiori performance, e> nuovi criteri di sicurezza."Forse ancora non ci siamo ... dato che l'uso transitivo del verbo "provvedere" in italiano è deprecato.AnonimoRe: Devoto Oli
- Scritto da: Anonimo> "...stiamo provvedendo a *securizzare*> ulteriormente il sistema web della Regione> del Veneto..."> > Ho letto bene? Esiste "securizzare" in> italiano?SECURO! Hai letto proprio bene! Perchè, scusa, dov'è l'errore? Sei proprio SECURO che ci sia un errore?:DAnonimoDizionario Garzanti
- Scritto da: Anonimo> "...stiamo provvedendo a *securizzare*> ulteriormente il sistema web della Regione> del Veneto..."> > Ho letto bene? Esiste "securizzare" in> italiano?Tsk tsk... Il dizionario Garzanti online risponde picche:http://www.garzantilinguistica.it/digita/parola.html?cerca=1&sinonimi=0&parola=securizzare&image.x=22&image.y=14AnonimoGalera
Pura e semplice.Sono stato tutto il giorno ad aspettare un pirletto che facesse un ping storto, per denunciarlo, fargli sequestrare il PC e i suoi stupidi giocattoli da "hacker", topexan compreso, nonché far venire un infarto alla sua famiglia che l'ha fatto crescere così stupido.Niente, neanche un ping... che razza di "challenge". Sarà per la prossima volta.AnonimoRe: Galera
La domenica con il sole ti sei messo a farti le seghe mentali per una cosa così?Capisco i sysadmin che lo fanno per lavoro ma tu potevi andare al lago, così saresnti stato meno acido e avresti evitato di fare commenti così da frustratoAnonimoRe: Galera
- Scritto da: Anonimo> Pura e semplice.> > Sono stato tutto il giorno ad aspettare un> pirletto che facesse un ping storto, per> denunciarlo, fargli sequestrare il PC e i> suoi stupidi giocattoli da "hacker", topexan> compreso, nonché far venire un infarto alla> sua famiglia che l'ha fatto crescere così> stupido.> > Niente, neanche un ping... che razza di> "challenge". Sarà per la prossima volta.Occhialoni neri e fucile a pompa in mano :))))Copriti la testa che il sole è davvero forte.AnonimoRe: Galera
Se fai una cosa del genere sei tu che ti ritroveresti nei guai, se denunci qualcuno per un ping, pensi che davvero la polizia ti prenda sul serio? Il pingatore, invece potrebbe prendere sul serio l'idea di denunciarti per calunnia. Su dammi il tuo IP che voglio pingare la tua stupidità..AnonimoRe: Galera
hacker? man jargonAnonimoRe: Galera
dammi il tuo IP che ti pingo io volentieri...AnonimoRe: Galera
uttosto che dei ping storti, quelli come te dovrebbero preoccuparsi dei neuroni disassati ... ti concedo l'attenuante del trollaggio, perche' senno' saresti davvero da ricovero. ping.AnonimoRe: Galera
> Sono stato tutto il giorno ad aspettare un> pirletto che facesse un ping storto, per> denunciarlo, fargli sequestrare il PC e i> suoi stupidi giocattoli da "hacker", topexan> compreso, nonché far venire un infarto alla> sua famiglia che l'ha fatto crescere così> stupido.Hei... evita di prendertela con i defacers se il tuo sito è noiosamente anonimo :)Terra2Re: Galera
Io nn farei tanto il brillante che se poi becchi quello bravo davvero vedi come te le spezza le corna ;);)AnonimoRe: Galera
- Scritto da: Anonimo> Io nn farei tanto il brillante che se poi> becchi quello bravo davvero vedi come te le> spezza le corna ;);)Impossibile :DIo penso che la peggior punizione per un sistemista sia il lavoro che egli stesso si autoinfligge! Inutile tediarlo oltremodo!Terra2Re: Galera
> Niente, neanche un ping... che razza di> "challenge". Sarà per la prossima volta.Neanche un ping???ma stavi connesso ad Internet oppure alla LAN della cucina?Il forno a microonde effetivamente ancora ICMP non ne emette (per ora :)..)se stavi connesso ad internet, visto la quantità statistica di pacchetti spuri che vagano.. mi viene il dubbio..lo sai riconoscere un ping?AnonimoRe: Galera
- Scritto da: Anonimo> Sono stato tutto il giorno ad aspettare un> pirletto che facesse un ping storto, per> denunciarlo, fargli sequestrare il PC e i> suoi stupidi giocattoli da "hacker", topexan> compreso, nonché far venire un infarto alla> sua famiglia che l'ha fatto crescere così> stupido.lol, denuncia un ping e vedi come ti ridono in faccia.....con un ping non fai niente.ciaoFr@nzRe: Galera
pena e compassione per te ..io stavo al lago ridendo di quelli come te :)AnonimoRe: Galera
- Scritto da: Anonimo> pena e compassione per te ..> io stavo al lago ridendo di quelli come te :)se era riferito a me, ti rispondo che ero al mere, lol.....impara a quotare, alemeno si capisce a chi ti riferisciFr@nzRe: Galera
Premetto ke sono un sysnetadmin di sistemi linux ho a ke fare con persone ke tentano di forzare i miei sistemi ad una media di 15 min tra un´attacco "meglio tentativo" e l´altro ma nn mi sono mai sentito nella posizione di poter dare del bambino o lamer o qualunque cosa a chiunque avesse tentato un´intrusione nei miei sistemi.Oggi... mi sveglio , vado su zio budda ke con un link mi manda a questo articolo ed i suoi commenti .Devo dire ke di stupidagini e cattiverie ne ho lette ma come questa dello stare davanti al pc per denunciare un ragazzetto come lo definisce questo TIZIO! bisogna proprio ke il mondo c´e´ l´abbia con te!! .Con ogni probabilita´ uno come te un´LKM "ops scusa forse nn sai neanke cos´e´ dicesi LINUX KERNEL MODULE " c´e l´ha gia´ installato sulla makkina , e se nn c´e´ " devi guardare bene!" dammi il tuo ip ke vediamo come mi rintracci quando ho finito di lavorikkiarti sulla makkina .Rispetto per ki neanke conosci LAMER!.p.s: Io venerdi´ sera sono partito per il mare altro ke domenica buttata davanti al pc .Cya .AnonimoRe: Galera
- Scritto da: Anonimo> Premetto ke sono un sysnetadmin di sistemiPotresti postare senza tante 'k' ? Così magari potrebbe anche venire voglia di leggere quello che scrivi....AnonimoRe: Galera
- Scritto da: Anonimo> Premetto ke Ekko un altro ke krede che faccia tanto fiko skrivere i messaggi riempiendole di k!AnonimoRe: Galera
Sono su un sito di inforamtika!???o all´esame di Italiano??La matura l´ho fatta un bel po´ di tempo fa´ ragazzi.In bocca al lupo per la vostra.Quand´e´ l´anno prossimo??Cya.AnonimoRe: Galera
- Scritto da: Anonimo> > - Scritto da: Anonimo> > Premetto ke > > Ekko un altro ke krede che faccia tanto fiko> skrivere i messaggi riempiendole di k!> > infatti, scrivere con le k rende difficile la lettura....se poi non vuoi essere letto continua pure...Fr@nzRe: Galera
- Scritto da: Anonimo> Premetto ke sono un sysnetadmin di sistemi> linux ho a ke fare con persone ke ...Letto il tuo posto mi permetto di dubitarne, lamerazzoAnonimoRe: Galera
Premetto ke sono un sysnetadmin di sistemi linux Stai facendo fare alla categoria una figura di mer*a, me compreso. Se vuoi farneticare o scrivere con le k, fallo con la tua ragazza via SMS. Ciao!AnonimoRe: Galera
n hai proprio un kzzo da fare si vede...vivi la vita e rilassati.viva fight clubAkiroRe: Galera
Se il tuo incubo è abbastanza bravo (ma non credo che chi partecipi a questa gara lo sia) da mascherare il suo ip tu puoi metterti a rintracciarlo quanto ti pare: lui ti ha già fottu+o la macchina o le macchine.AnonimoEsprinet Ha spento tutto pure lui?
Ho notato che anche il sito di Esprinet - il più grosso distributore italiano di materiale informatico - è down!!!Paura anche per lui?? Ma nonostante sia un weekend estivo con scarse transazioni, un'azienda di quel calibro con staff tecnico all'interno ne esce comunque sconfitta se non nella sostanza ma dal punto di vista dell'immagine!!AnonimoRe: Esprinet Ha spento tutto pure lui?
- Scritto da: Anonimo> Ho notato che anche il sito di Esprinet - il> più grosso distributore italiano di> materiale informatico - è down!!!> > Paura anche per lui?? Ma nonostante sia> un weekend estivo con scarse transazioni,> un'azienda di quel calibro con staff tecnico> all'interno ne esce comunque sconfitta seora si vede, ma non so che staff tecnico interno abbiano..se pagassero dei sistemisti interni non ci sarebbe:$ HEAD http://www.esprinet.com/200 OKCache-Control: privateConnection: closeDate: Mon, 07 Jul 2003 10:06:13 GMTServer: Microsoft-IIS/5.0> non nella sostanza ma dal punto di vista> dell'immagine!!tutti quelli che hanno reagito in questo modo hanno dato ai loro clienti una pessima immagine di se e della loro competenza in materia di sicurezza, visto che chiunqe ne abbia un minimo si rende conto che si tratta di lameratese dovessi fare una denuncia per ogni imbecille che bussa ad uno dei miei server (esclusi nimda, codered e vermi vari) avrei gia' disboscato la foresta amazzonica :)ciaoAnonimoRe: LAMER
- Scritto da: Anonimo> Ho un webserver aperto con linux per testare> i miei programmi PHP/Mysql e cosa mi ritrovo> nell'access log?> **.**.**.** - - [06/Jul/2003:19:47:07 +0200]> "GET> /scripts/..%255c..%255cwinnt/system32/cmd.exe> > Ne ho un 100 circa solo ieri !!! Guarda che e' cosi' tutti i giorni, non solo ieri...> Gente poco seria, non esperta, che non ne> capisce UNA MAZZA di sicurezza informatica e> che si definiscono PIRATI... ma perchè non> vanno a STUPPARI CESSI ???> > Perchè non vanno a zappare invece di rompere?Ma pensi davvero che dietro a ogni tentativo di attacco di quel genere ci sia una persona che lo lancia verso il tuo IP?Ma dove vivi??Quello e' diventato ormai (purtroppo) un traffico costante su internet, fatto da programmi automatici installati su server compromessi da chissa' quanto ormai..AnonymousAnonymouscos'è un defacer?
... grazie della spiegazione che vorrete darmi!AnonimoRe: cos'è un defacer?
- Scritto da: Anonimo> ... grazie della spiegazione che vorrete> darmi!In genere un hacker (o un lamer) che modifica o rimpiazza totalmente l'home page di siti web. Defacer tradotto maccheronicamente sarebbe "defacciatore", modificatore/eliminatore di facce (=homepage).kubuRe: cos'è un defacer?
- Scritto da: kubu> In genere un hacker (o un lamer) chetogli pure le parentesi: è *sempre* un lameroppure il system administrator che si defaccia da solo, vedi Regione Veneto :)non esiste al modo un solo acker che perderebbe un solo nanosecondo in una ca$$ata del genereciaoAnonimoRe: cos'è un defacer?
- Scritto da: Anonimo> ... grazie della spiegazione che vorrete> darmi!Un deface è la modifica dell'Home page di un sito internet, vale a dire la sostituzione di tale pagina con una che riporti per esempio un messaggio di protesta contro qualcosa o qualcuno o semplicemente con una specie di manifesto del lamer o del gurppo di lamer che ha eseguito il deface.Skin BracerRe: cos'è un defacer?
- Scritto da: Anonimo> ... grazie della spiegazione che vorrete> darmi!http://www.governmentsecurity.org/articles/StepsToDefaceAWebpageAboutDefacers.phpqui trovi una buona spiegazione di come funzionano i defacement.r00t1naRe: LAMER
> Ho un webserver aperto con linux per testare> i miei programmi PHP/Mysql e cosa mi ritrovo> nell'access log?> **.**.**.** - - [06/Jul/2003:19:47:07 +0200]> "GET> /scripts/..%255c..%255cwinnt/system32/cmd.exe> LOL, ma da dove vieni? E' cosi' da anni, una buona percentuale del traffico su internet e' generata da worm di questo tipo che continuano a prosperare grazie a sysadmin (ma e' una parola grossa) in fasce, assunti a piene mani dalle aziende perche' sfruttabili con contrattini da 4 soldi > Ne ho un 100 circa solo ieri !!! ROTFL> Perchè non vanno a zappare invece di rompere?AMEN Mela Marcia (tm)Mela MarciaRe: LAMER
Come già ti hanno detto, questi sono Nimda e affini: nessuno ce l'ha con te: le macchine ancora infette continuano a cercare di infettarne altre provando indirizzi IP generati randomicamente. Nessuno ce l'ha con te o non ha capito con che sistema operativo ha a che fare: sono assolutamente casuali e li trovi in qualsiasi log di qualsiasi sito web ormai da qualche anno.r00t1nauhmmm..
GET /scripts/..%255c..%255cwinnt/system32/cmd.exe?/c+copy+cwinnt\system32\cmd.exe+cinetpub\scripts\script.exe HTTP/1.1questo non è NImdà.. nè affine,magari uno scriptino in expect o in perl,automatico come ti pare... ma cmq scritto a manellae con intenti palesi..insomma non è un virus :).. e lo sai anche tucerto di quella roba te la ritrovi a carrettate nei log del server, con frequenza variabile a seconda delle fasi lunari, delle maree e dell'andamento dell'IQ mondiale..dubito che cmq il tizio che deciso di sfruttare il traversal path di IIS abbia vinto il challenge, ...SalÜtr4wAnonimoRe: LAMER
Infatti la minchiata è che si usi uno script in Perl che scanna gli IP mandando a tutti (dico a tutti!!!9 i web server indiscriminatamente la stessa richiesta.Quanto c***o ci vuole a chiedere solo a IIS ciò che è di IIS e ad Apache solo quel che è di Linux-Apache?Invece no....rompono i marroni anche agli Apache con richieste tipo cmd.exe.....Questo testimonia l'essere "lamer", ovvero chi usa script scaricati senza nemmeno porsi il problema di capire cosa fanno o dove lo fannokey4b00gsecurizzare? :D
Ocorrera' aggiungerlo al vocabolario :DInstallando un antifurto sull'auto:"Sto securizzando l'automobile"in casa:"Sto securizzando casa".Mettendosi le cinture di sicurezza:"Miraccomando non metterti alla guida senza prima esserti sicurizzato completamente" :DInoltre, dall'articolo sicurizzare sara' sinonimo di farsela sotto? :D :D :D :DAnonimoRe: securizzare? :D
- Scritto da: Anonimo> Ocorrera' aggiungerlo al vocabolario :DGuarda che per noi veneti l'italiano è un optional....lavoriamo 34 ore al giorno per cui non abbiamo tempo per queste cose....salutiAnonimoRe: securizzare? :D
a ragazza si securizza per non rimanere in cinta! :-)AnonimoRe: securizzare? :D
- Scritto da: Anonimo> Ocorrera' aggiungerlo al vocabolario :D> > Installando un antifurto sull'auto:> > "Sto securizzando l'automobile"> > in casa:> > "Sto securizzando casa".> > Mettendosi le cinture di sicurezza:> > "Miraccomando non metterti alla guida senza> prima esserti sicurizzato completamente" :D> > Inoltre, dall'articolo sicurizzare sara'> sinonimo di farsela sotto? :D :D :D :DLOL volevo scriverlo io :-)Anonimoil premio!
questo sarebbe il premio?500mb of hostingwebmailemail forward (limitless)Domain Name (that YOU choose)..... WOW!! Ma un cracker che se ne fa di 500mb di hosting? Mette su materiale warez che poi glielo chiudono subito?Secondo me tutta sta stampa per 4 pagine html fatte pure male è sempre il solito allarmismo-terrorismo a cui siamo abituati ormai dopo l'11 settembre.. Che tristezza. Ma un po' di obiettività? Secondo voi i veri HACKER gareggiavano per 500 Mb di spazio????che presa per i fondelliAnonimoRe: il premio!
> Ma un po' di obiettività? > Secondo voi i veri HACKER gareggiavano per> 500 Mb di spazio????infatti si sta parlando di cracker o lamerozzoli, non credo che un vero hacker sprechi il suo tempo per defacciare uno o più home page.Fr@nzRe: il premio!
un vero hacker non si mette a commettere reati informatici, in quanto un vero hacker, in ambito informato, e' un programmatore molto bravo e curioso che si pone sempre nuovi problemi.AnonimoRe: il premio!
- Scritto da: Fr@nz> > infatti si sta parlando di cracker o> lamerozzoli...Simpatica l'espressione "lamerozzoli"... :DAnonimoNoi altri invece ci grattiamo
Scusa tanto ma non è che gli altri se "la stanno a menare" eppure l'italiano cercano di usarlo correttamente.....AnonimoGrazie, il tuo commento è in fase di approvazioneGrazie, il tuo commento è stato pubblicatoCommento non inviatoGrazie per esserti iscritto alla nostra newsletterOops, la registrazione alla newsletter non è andata a buon fine. Riprova.Leggi gli altri commentiPubblicato il 7 lug 2003Ti potrebbe interessare