rubati 24 bitcoin su bitstam. 2FA+password lunga 20 + email di conferma prelievo

[zoe]

Anche per me, il punto debole e il cell, sarebbe utile sapere se, era rootato , quali applicazioni aveva installato, se erano tutte originali.
Se era rootato e ha salvato un backup su pc ? che sistema ha?
Un bruteforce su 2FA in un minuto mi sembra molto difficile.
Detta così è un po inquietante, Avere qualche dato in più per chiarire nel possibile la situazione sarebbe meglio.

[bitcoinplaza]

Non c'è nessuna ragione di ipotizzare bruteforce di 2FA, se qualcuno è entrato nel suo smartphone si speiga tutto perchè poteva usare la sua email e google auth.

 Mi piacerebbe solo sapere come è stato compromesso il suo smartphone.

E poi ribadisco la lezione che ho scritto prima: google auth va installato su un dispositivo diverso, un cell scasso va benissimo

"Android WebView Exploit" un exploit vecchiotto, ma da un paio di settimane è disponibile il modulo per metasploit...androind da 4.2 in giu quasi tutti vulnerabili root o non root

http://community.rapid7.com/community/metasploit/blog/2014/02/13/weekly-metasploit-update

[gabridome]

Usi lastpass con la yubikey?

Yubikey su mac, google authenticator su android

[gabridome]

Non c'è nessuna ragione di ipotizzare bruteforce di 2FA, se qualcuno è entrato nel suo smartphone si speiga tutto perchè poteva usare la sua email e google auth. Mi piacerebbe solo sapere come è stato compromesso il suo smartphone.

Sì. É la cosa più sensata. Se ho fatto login su lastpass su bitstamp col telefono usando la 2fa può effettivamente darsi che abbiano sfruttato la mia sessione.

Purtroppo ho ripristinato il telefono e la storia del browser lastpass penso non sia recuperabile.

E poi ribadisco la lezione che ho scritto prima: google auth va installato su un dispositivo diverso, un cell scasso va benissimo

Ora lo so...

[gabridome]

Anche per me, il punto debole e il cell, sarebbe utile sapere se, era rootato , quali applicazioni aveva installato, se erano tutte originali.
Se era rootato e ha salvato un backup su pc ? che sistema ha?
Un bruteforce su 2FA in un minuto mi sembra molto difficile.
Detta così è un po inquietante, Avere qualche dato in più per chiarire nel possibile la situazione sarebbe meglio.

Telefono non rootato. Le copie dei programmi tutte prese dal play store.
Nessun contatto con i mac se non le sincronizzazioni di google ed evernote.

[gabridome]

Mi dispiace per la tua perdita, spero tu non l'abbia pagati quanto valgono ora.
Una domanda: Sei fra quelli che avevano ricevuto email e blocco dell'account circa 2 settimane fa ?

Grazie per la solidarietà ragazzi.
No. Non ero tra quelli.

[ibinsad]

Anche per me, il punto debole e il cell, sarebbe utile sapere se, era rootato , quali applicazioni aveva installato, se erano tutte originali.
Se era rootato e ha salvato un backup su pc ? che sistema ha?
Un bruteforce su 2FA in un minuto mi sembra molto difficile.
Detta così è un po inquietante, Avere qualche dato in più per chiarire nel possibile la situazione sarebbe meglio.

Telefono non rootato. Le copie dei programmi tutte prese dal play store.
Nessun contatto con i mac se non le sincronizzazioni di google ed evernote.

Non è magari uno di quei programmi che ha dentro l'exploit?

[gabridome]

Non è vero che BitStamp non può essere stato. Può essere stato e come. Immagina che svuotano l'account ogni tanto a persona a caso. Con questo si sono presi 10000€, e se loro lo facessero una volta ogni tanto? Infondo poca gente riesce a prendere la credibilità della gente e pochi vengono considerati. E' un punto di forza a loro favore.

Comunque rimango dell'idea che qualcuno abbia preso possesso dei tuoi dispositivi, sapevano quando non c'eri e dove avevi messo le password, è troppo evidente.

Concordo con i dubbi su Bitstamp o su qualche loro dipendente o comunque su qualche complicità interna. Sono cose possibili.

Sul controllo (fisico) dei miei dispositivi ho invece forti dubbi. Non ho gente esperta intorno.
Detto questo devo ammettere che non posso escludere niente.

[gabridome]

Anche per me, il punto debole e il cell, sarebbe utile sapere se, era rootato , quali applicazioni aveva installato, se erano tutte originali.
Se era rootato e ha salvato un backup su pc ? che sistema ha?
Un bruteforce su 2FA in un minuto mi sembra molto difficile.
Detta così è un po inquietante, Avere qualche dato in più per chiarire nel possibile la situazione sarebbe meglio.

Telefono non rootato. Le copie dei programmi tutte prese dal play store.
Nessun contatto con i mac se non le sincronizzazioni di google ed evernote.

Non è magari uno di quei programmi che ha dentro l'exploit?

Mycelium, blockchain, Android wallet. Le altre sono le solite applicazioni popolari... Niente singolare.

[gabridome]

Spiacente per la perdita

Da questo caso si può ricavare una lezione:

Google authenticator va installato su un dispositivo separato, un altro smartphone che non sia collegato alla rete e mai usato per accedere alla propria email o ai siti web dove è richiesto 2FA

E devo rimediare anch'io perchè non ci avevo pensato.

Resta da capire come hanno potuto accedere allo smartphone nel caso specifico. Se hanno potuto usare la 2FA l'infezione dev'essere avvenuta da lì e non sul computer, giusto? Che modello è? E' rootato? Hai sempre scaricato app, specialmente relative a bitcoin, solo da playstore o anche da altre fonti? Anche playstore non è 100% sicuro, hai delle app sospette?

Sì io penso che sia stato il telefono. Samsung galaxy sII. Gt-i9100 versione android 4.1.2 (ripristinato oggi).
Non so dirti se mi abbiano ripristinato una versione diversa... Non é mai stato rootato (questo lo sapevo anch'io).

[gabridome]

Se gli esperti di questo forum riuscissero a dare un nome alle minacce alla nostra sicurezza e quindi anche a dare delle soluzioni, sarebbe veramente utile.
Leggevo su Cryptsy di malavare con keylogger

I keylogger come dice il nome stesso intercettano tutti gli input da tastiera. Il RAT da me citato (Remote Administration Tool) serve per prendere il pieno controllo del pc in remoto.
Fasan ha ragione (mi pare di capire che sei un esperto di sicurezza informatica?), chi è vicino a questi argomenti sa bene che il computer sicuro è quello che non esiste. Il miglior antivirus è l'utente, gli antivirus riconoscono solo i malware ormai già diffusi (altrimenti secondo quali criteri potrebbero scoprirli?), se vi beccate una 0day (0 giorni, si tratta di falle appena scoperte) non possono aiutarvi neanche loro. Per non parlare dei software che criptano i virus in modo da renderli invisibili.

Possiamo aprire un topic in sticky che spiega come funzionano i vari virus (non un semplice dizionario, ma un vero e proprio vadevecum dove viene spiegato anche come comportarsi in caso di problemi). Che ne dite? Dimostriamo al mondo che la comunità italiana sta avanti  

Ottima idea. Io però farei una cosa per punti o regole per evitare i problemi. Il perché dei consigli o il funzionamento dei malaware lo metterei come approfondimento come link.

[ibinsad]

A questo punto non ci si può nemmeno fidare delle applicazioni android sul playstore.
Potremo essere tutti infetti senza saperlo e brutto da dire ma sembra un dato di fatto.

[gabridome]

Mi dispiace davvero per la tua perdita.
La rom del telefonino era originale o un mod tipo cyanogen?
Puoi dirci marca e modello del telefono? A volte i costruttori, in buona fede, apportano modifiche a kernel ed applicativi e nel farlo introducono potenziali buchi di sicurezza, avere certe informazioni potrebbe esser utile se non altro a chi ha lo stesso modello

Samsung galaxy SII. Non ho cambiato la rom. Solo roba standard.

[gabridome]

mi spiace molto per la tua perdita, peraltro notevole. Mi chiedo come sia possibile, soprattutto Co  i 2 fattori di autenticazione. Potrebbe significare che non esiste alcun hacker ma il ladro è dentro bitstamp ..... assurdo ma la spiegazione più probabile. Piuttosto che un hackercche ha accesso al stesso tempo a PC e smartphone... se questo fosse vero siamo tutti ad altissimo rischio. Io per fortuna ho i prelievi di btc disattivati. Puoi postare l indirizzo che te li ha Rubati?

É nel post iniziale nella storia.

[gabridome]

Comunque usava apple, mi son letto tutto il topic inglese e sono piuttosto convinto che il vettore di infezione sia stato il cellulare, ma gabriele dovrebbe confermare di essersi loggato attraverso il telefono sia a bitstamp che a gmail.

Sono anch'io convinto che il responsabile é il telefonino. Era presente su un solo device tutto quello che serviva:

Username e password (forse la sessione di login), google authenticator e gmail che aveva la password memorizzata.

Mi dispiace deludervi ma non ricordo esattamente se mi sono collegato quella sera con Bitstamp. Lo ritengo molto probabile perché ero lontano da casa e quando non ho il mac vado spesso sui siti col telefono...

[Trigun]

mah ...
sinceramente son 2 le cose...
o avevano il telefono in mano... o il pc è infetto...
non vedo altri modi per fare un login su un sito....
il problema è che se anche il pc fosse infetto il codice del cell non lo dovrebbero avere in nessun modo dato che il telefono non è rootato... quindi no root -> no accesso a i dati di google auth

quindi secondo me è impossibile....
ovviamente escludo un hack completo a bitstamp perchè in quel caso avrebbero svuotato tutti e non solo te..


PS potevi fare 1 post unico per rispondere a tutti :-P

[gabridome]

Grazie ragazzi.
Il vostro interessamento mi fa sentire meno isolato.
C'é una legge non scritta nel mondo Bitcoin che in parte condivido: i bitcoin sono l'unico denaro sotto il tuo esclusivo controllo e se te li rubano la responsabilità é tua.

Ciònonostante é giusto avere amici che, nell'interesse comune cerca in tutti i modi di limitare e perseguire i furti perché la prossima vittima potremmo essere noi.

Vi chiedo perdono se ho risposto solo stasera ma oltre a diversi impegno ho dovuto reinstallare due "vettori": telefono e mac. Mi manca solo il secondo mac poi potrò ripartire.

Spero di avere risposto in modo abbastanza esauriente alle domande ma capisco di non poter essere completamente d'aiuto in quanto ormai il telefono é ripristinato.

Concordo con la necessità di best practices sticky.

Quando leggiamo di un hack normalmente diciamo "un altro che non aveva la 2FA". É stato sconvolgente per me sapere che uno con la 2FA, la password lunga e unica e la conferma via email era stato derubato. Sapere che ero io mi ha proprio sciolto.

Ma quando cazzo arrivano 'sti TREZOR ?

[ibinsad]

Mi chiedo se esiste un sistema migliore di Android per poter operare, dato che pare sia stato violato con una delle applicazioni del market e non era nemmeno rootato.

Torniamo tutti al vecchio Symbian

[Trigun]

non è possibile ...
android ha la gestione dei permessi che parla chiaro... se non si ha un permesso non puoi fare una cosa...
e se il telefono non è rootato non puoi accedere ai file di altre applicazioni... quindi non esistono keylogger e cose del genere...
gli unici keylogger che esistono possono stare in una tastiera (se si scarica la tastiera Y potrebbe avere un keylogger all'interno... dato che usi quella per scrivere :-P)
potrebbe essere un discorso diverso per il browser che magari ha la possibilità di accesso dall'esterno.. ma non credo... cioè andrebbe a violare tutto il sistema per fare una cosa che potrebbe essere inutile...
cmq i "virus" del telefono agiscono solamente sui dati salvati sul telefono... principalmente immagini video ecc e quello che riguarda la rubrica ecc ... anche se per accedere alla rubrica bisogna dargli il permesso (idem per i file) ma son cmq 2 permessi che praticamente hanno quasi tutte le app (e i permessi non penso li legga nessuno)



es banale...
su un programma che ho fatto per android per poter inviare una mail dal programma ho dovuto scrivere una funzione per inviare il file che comprendeva tutto... dall'apertura della sessione con login e dati (hardcoded) fino all'invio.... banalmente si sarebbe potuto fare sfruttando già il client della mail che è installato e configurato sul telefono.... pero' per farlo avrei dovuto passare i dati al programma e questo li avrebbe dovuti gestire... è fattibile, ma è richiesta sempre una parte umana per l'invio (praticamente puoi fargli compilare la mail con tutti i dati ma il tasto invia deve esser premuto a mano)... questo proprio perchè un'applicazione non può comandare o prendere dati ad un'altra applicazione... può solo lanciare e INVIARE dati a quest'ultima (che quindi deve esser predisposta a poter ricevere e gestire i dati)

[barbierir]

Quando leggiamo di un hack normalmente diciamo "un altro che non aveva la 2FA". É stato sconvolgente per me sapere che uno con la 2FA, la password lunga e unica e la conferma via email era stato derubato. Sapere che ero io mi ha proprio sciolto.

Ti assicuro che non sei l'unico rimasto sorpreso! Almeno cerchiamo di imparare qualche lezione.