Olimpo Informatico

[SverX]

[R16]

Maary79 ha scritto:

[Maary79]

In ogni caso, anche dal browser, deve apparire una finestrella di download, di un files .exe, che poi si dovrà eseguire... vabbè la curiosità o il cascarci, credendo che sia altro, non notando l'estensione.
Mi chiedo se veramente esistano link dove clicchi e sei fottuto...senza altra azione. Salvo che come dice sveX, il veicolo sia un browser non aggiornato...

[R16]

Maary79 ha scritto:

[Maary79]

Sarà che io queste stupidaggini le faccio da Linux, e li, effetti non ce ne sono, e da Windows non mi sogno nemmeno... però un link veramente infetto vorrei trovarlo, ed eseguirlo in Windows ma su macchina virtuale.

[SverX]

puoi costruirtelo da sola se vuoi provare - ad esempio sfruttando un bug di IE8 puoi ottenere l'esecuzione di codice sulla macchina, vedi queste note.

[Maary79]

E' complicato, devi partire da cose più facili, tieni presente che nonho IE8, al massimo ho l'IE che c'è dentro W10, che manco so che versione è (l'ultima presumo).

[SverX]

no ma non è che volessi insegnarti - era per dire che è possibile farlo, se il browser è vulnerabile (ovvero potenzialmente qualunque browser non aggiornato)

[Maary79]

Tranquillo, non credo che riuscirei mai ad imparare, piuttosto posso vedere cosa accade al sistema quando uno di quei cosi lo attacca, cosa che non ho mai visto.

[Gladiator]

[Hybris]

Presentata così, non è una "tesi controintuitiva", ma una pura e semplice sciocchezza: la facilità di diventare vittima del phishing non è crescente con la conoscenza delle tecniche di social engineering, come erroneamente ripreso dall'articolo di ZeusNews, ma è a "campana dissimmetrica a sinistra" ossia con una coda a destra: è molto bassa per chi ha scarsissime conoscenze perché non sa neanche dove e cosa cliccare, cresce con un'infarinatura di conoscenze, raggiunge presumibilmente il massimo quando è alto il mix fra conoscenza superficiale del phishing e presunzione che ciò consenta di muoversi con sicurezza evitandone le trappole, dopo di che diminuisce con l'incremento della conoscenza delle tecniche di contrasto o di neutralizzazione fino a tendere a zero per quelli effettivamente molto esperti.
Lo "studio" del Maryland è assolutamente valido come tecniche di raccolta dei dati e di analisi della significatività statistica dei risultati ottenuti, ma è penosamente inadeguato come interpretazione dei risultati stessi e delle cause che li hanno determinati: emblematico nell'abstract il "contrariamente alle nostre aspettative" a cui NON segue una ipotesi di spiegazione del perché la realtà osservata è diversa da quella attesa. Considerazione "positiva": per fortuna che non è solo in Italia che si fanno studi condotti in maniera formalmente corretta, ma che poi cadono miseramente sulle conclusioni...