"We Internet You"
Un rootkit, (in
ambiente Unix per "root" access si intende accesso di livello
amministrativo, quindi letteralmente si potrebbe intendere
equipaggiamento da amministratore) è un programma software creato
per avere il controllo completo sul sistema senza bisogno di
autorizzazione da parte di utente o amministratore.
Recentemente alcuni virus informatici si sono avvantaggiati della
possibilità di agire come rootkit (processo, file, chiave di
registro, porta di rete) all'interno del sistema operativo. Se è
vero che questa tecnologia è fondamentale per il buon funzionamento
del sistema operativo, negli anni sono stati creati cavalli di Troia
e altri programmi maligni in grado di ottenere il controllo di un
computer da locale o da remoto in maniera nascosta, ossia non
rilevabile dai più comuni strumenti di amministrazione e controllo.
I rootkit vengono tipicamente usati per nascondere delle backdoor.
Negli ultimi anni, tuttavia, s'è molto diffusa la pratica, tra i
creatori di malware, di utilizzare rootkit per rendere più difficile
la rilevazione di particolari trojan e spyware, indipendentemente
dalla presenza in essi di funzioni di backdoor, proprio grazie alla
possibilità di occultarne i processi principali. Grazie all'alto
livello di priorità con la quale sono in esecuzione, i rootkit sono
molto difficili da rilevare e da rimuovere con i normali software
Antivirus. I rootkit vengono usati anche per trovare le informazioni
personali presenti in un computer e inviarle al mittente del malware
ed essere poi utilizzate da esso per scopi personali. I più comuni
rootkit fanno uso di moduli del kernel o librerie su sistemi Unix, e
DLL e driver per quelli Windows. Tra i più noti si possono
annoverare FU e NT Rootkit.
Un
redirect o rinvio è un comando per rimandare direttamente ad un'
altra pagina da quella richiesta o impostata come pagina
iniziale.
L'utilizzo più sovente del comando è per reindirizzare gli
utenti verso una pagina diverso da quello della pagina
richiesta, nella fattispecie siti porno o di giochi on-line e
siti per scaricare a pagamento contenuti (loghi e suonerie, ad
esempio). Il problema nsce dal fatto che al momento dell'
apertura de vs. browser, accedete ai ns. server radius per
l'autenticazione dell' utente. Se il vs. browser vi porta ad un'
altra pagina non siete in condizione di loggarvi e quindi non vi
collegherete ad internet. Perciò ricordatevi di mantenere il vs.
browser pulito. E' vostra cura ed un vostro obbligo, in quanto
un pc non pulito vi causerà disfunzioni non imputabili a nessuno
trenne che a voi stessi .
Contro le botnet
non c'è nulla da fare
La guerra tecnologica contro le reti di PC zombie controllati da
remoto dai criminali informatici potrebbe essere già persa. Lo
sostengono alcuni ricercatori
Roma - Le botnet? Impossibile combatterle. Gli attacchi basati sui
PC zombie si evolvono tanto velocemente da rendere vani gli sforzi
tesi ad approntare contrattacchi e sistemi di sicurezza efficaci.
Gli esperti specializzati nella caccia a questa nuova genìa di "malware
distribuito" esprimono tutta la loro frustrazione nel rilevare come
ad ogni contrattacco corrisponda una contromossa dei coder
criminali, tale da mettere fuori gioco quanto era stato fino a quel
punto realizzato per neutralizzare la minaccia.
"Siamo a conoscenza della minaccia delle botnet da pochi anni ma
solo ora stiamo realizzando come esse funzionino in concreto, e mi
dispiace ammettere il fatto che potremmo essere due o tre anni
indietro in termini di meccanismi di risposta", sostiene Marcus
Sachs, in forze alla divisione Computer Science Laboratory
dell'organizzazione di ricerca indipendente SRI International.
Che cos'è una botnet? È una rete di PC connessi su banda larga,
caduti vittima di un'infezione durante un attacco di un worm, un
trojan o altro agente virale, in cui è stato innestato un software
di controllo remoto che connette la macchina infetta ad un server,
in attesa di istruzioni da parte del burattinaio telematico che
controlla la rete.
La diffusione dei PC zombie, sottratti al controllo dell'utente e
totalmente assoggettati ad una volontà esterna, è in crescita
esponenziale, dicono le stime delle società di sicurezza. Symantec
ha rilevato come, durante i primi sei mesi del 2006, sia stata
osservata in azione una media di ben 57.000 bot al giorno. Durante
il suddetto periodo, la compagnia di Norton Antivirus ha contato 4.7
milioni di computer singoli catturati dalle botnet, impiegati in
attività criminose quali attacchi DoS, installazione di malware,
adware e spyware e attività di keylogging ai danni di dati
finanziari sensibili.
Come riporta Punto Informatico, i danni causati dalle botnet
(principalmente economici, ma non solo) alle infrastrutture e ai
business di rete sono già stati notevoli. Ora alcuni esperti
sostengono persino che la situazione non può far altro che
peggiorare.
"Siamo riusciti a far refluire la marea, ma è stato per la gran
parte un tentativo inutile", sostiene Gadi Evron, security
evangelist della compagnia di sicurezza israeliana Beyond Security e
uno dei protagonisti principali all'interno della community dei
cacciatori di reti zombie. "Ogni volta che disabilitiamo un server
di comando-e-controllo, la botnet viene immediatamente ricreata su
un nuovo host. A quel punto non possiamo fare più niente", dichiara
Evron in un intervista su eWEEK.
La tecnologia alla base dei network criminali evolve poi in
continuazione, al punto da individuare i possibili punti meno
performanti della rete, magari collegati con una connessione lenta
in dial-up, per escluderli da attacchi complessi e relegarli alla
semplice installazione di spyware o adware assortito. Le botnet
moderne impiegano nuove tecniche di camuffamento per nascondere la
propria presenza ai software di sicurezza e ai ricercatori.
Caso esemplificativo dell'incremento di complessità delle botnet è
il trojan Sinit: basandosi su un principio di connessione
peer-to-peer, ogni macchina infetta dal malware diventa un nodo
capace di diffondere a sua volta l'infezione con l'invio di trojan
aggiuntivi. La cosa che rende ancora più sofisticata la rete è il
fatto che il codice trasportato dai bot è segnato digitalmente e
quasi impossibile da decifrare.
Gadi Evron, che insegue le botnet dal 1996, sostiene che "si sono
evolute al punto che non c'è nessun server di comando-e-controllo da
trovare e spegnere". "Per un periodo, questa è stata la loro
principale debolezza. Oggi, c'è sufficiente ridondanza e canali di
controllo alternativi da poterle mantenere sempre attive".
Alfonso Maruccia (punto informatico)
.png)
WIN32.WORM.ZIMUSE:
VIRUS CHE DANNEGGIA L'HARDWARE
BitDefender ha identificato una nuova minaccia elettronica che
combina il comportamento distruttivo di un virus con il meccanismo
di diffusione di un worm. Esistono 2 varianti conosciute di questo
virus, che entra nel computer come un innoquo test di IQ.
Una volta eseguito, il worm crea tra le 7 e le 11 copie di se
stesso( a seconda della variante) nelle aree critiche del sistema
Windows.
Win32.Worm.Zimuse.A è un malware estremamente pericoloso. A
differenza degli altri worms, Win32.Worm.Zimuse.A può creare gravi
perdite di dati sovrascrivendo i primi 50KB del Master Boot Record –
una zona chiave dell’ hard disk drive.
Per potersi eseguire ad ogni avvio di Windows, il worm imposta la
seguente chiave di registro:
[HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Windows\ CurrentVersion\Run]"Dump"="%programfiles%\
Dump\Dump.exe
Crea anche due file driver, chiamati:
%system%\drivers\Mstart.sys and %system%\drivers\Mseu.sys
Nelle versioni a 64-bit di Windows Vista e Windows 7 è richiesta la
firma digitale dei drivers, pertanto in questi sistemi il worm non
può installare questi file driver.
Sfortunatamente, sembra che questo worm non permetta all'utente di
rendersi conto che il sistema è sotto attacco. Dopo un preciso lasso
di tempo (40 giorni per la variante A e 20 per la variante B)
l'utente del PC riceve un messaggio d'errore che afferma che un
problema è stato riscontrato a causa di un contentuto di un
pacchetto IP ricevuto da un particolare sito web, dopodiché
all'utente viene chiesto di premere OK per risovlere il problema e
ripristinare il sistema. Dopo il conseguente riavvio del PC il
master boot record del disco viene compromesso e il disco della
macchina viene guastato. Per un resonconto dettagliato di quello che
accade durante l'attacco del worm Win32.Worm.Zimuse, guarda il
video.
http://www.youtube.com/watch?v=KgjX4LQrkgI&feature=player_embedded
Per coloro che non sono sicuri di essere stati
infetti dal virus, è possibile eseguire in 30 secondi un controllo
con QuickScan.
Il QuickScan è disponibile anche sulla pagina BitDefender
di Zimuse.
Le istruzioni per la rimozione di Zimuse sono le seguenti:
1. Scaricare lo strumento per la rimozione (.exe file – 201 KB)
2. Per gli utenti con accesso limitato a Windows XP, cliccare con il
tasto destro su “zimuse-removal-tool.exe” e scegliere “Esegui come
Amministratore” ed inserire i dati di un account con diritti di
amministrazione.
3. Riavviare il sistema dopo aver terminato la disinfezione.
Gli esperti dei G Data Security Labs avvisano gli utenti che è in atto una diffusa campagna-trappola di abbonamento volta soltanto a spillare denaro agli utenti Pc.
Cliccando su “download now” l’utente viene dirottato
su un form di login di FreeDownloadZone.com dove vengono richiesti i
dati personali e quelli della carta di credito. Una volta inseriti i
dati l’utente è ormai caduto in trappola ed è contrattualmente
obbligato a pagare 19.50 euro per un anno di abbonamento o 35.94
euro per tre anni. Senza contare che questa stessa pagina contiene
ulteriori piccole notazioni che producono costi aggiuntivi e che
vengono selezionate in automatico nelle operazioni di conferma. Così
da 35.94 si arriva facilmente e senza accorgersi fino a 81.58 euro
di spesa.
Le trappole di questo tipo non sono certo una novità, ma questo tipo
di attacco è particolarmente pericoloso proprio perché basato su in
indirizzo web autenticamente operativo. Questo indirizzo web poi non
è l’unico che usa questo tipo di trappola. Trucchi simili sono
impiegati dai criminali anche con altri software gratuiti come Open
Office, Firefox, iTunes, programmi di grafica Gimp, Quicktime),
client peer-to-peer (LimeWire, eDonkey), torrent (BitTorrent) e ora
anche con software antivirus.
L’identità di chi attualmente gestisce questo sito è ancora segreta.
Non sono presenti inoltre chiare condizioni legali e le domande
inerenti le modalità per usufruire del servizio rimandano a un
service dei Paesi Bassi e ad ulteriori coperture. L’avviso posto in
calce alla pagina, inoltre, dimostra il nuovo livello qualitativo
raggiunto da queste trappole: questa clausola, infatti, dovrebbe
mettere i truffatori al riparo da qualsivoglia conseguenza legale.
Che succede se si cade in trappola?
Per prima cosa bisogna rimanere calmi e riflettere sul da farsi. Non
bisogna pagare denaro se si è caduti vittima di siffatta trappola. E
non bisogna agitarsi preoccupandosi di collezionare eventuali
segnalazioni di debito ai circuiti ufficiali delle carte di credito.
Se si sono inseriti i dati della propria carta di credito in form
online di questo tipo bisogna immediatamente bloccare la propria
carta di credito. Soltanto in questo modo è possibile tutelarsi nei
confronti di ulteriori abusi e possibili danni finanziari.
via rimini 2a-2b Loc. Pianventena - 47842 San Giovanni in Marignano (RN) - COD. FISCALE E N.P.IVA 02180850402 TEL. +39 0541 957780 FAX +39 0541 828091
I marchi "Romagna Wireless NETwork",
"RWnet", "Romagnawireless", "ConnectoADSL" e "Free4Net" sono di nostra
esclusiva proprietà.
Copyright © 2005 d.e.a. s.a.s. | Designed by
Propaganda62
Il bisogno costante di interazione mette a rischio i dati sensibili e rende gli utenti facili bersagli dei pericolosi software in circolazione.
Le minacce elettroniche di questo mese si possono trovare principalmente nei cosiddetti “torrents” o altre piattaforme peer-to-peer nei quali sono presenti programmi pirata.
Trojan.Clicker.CM si posiziona primo nella classifica di Gennaio, con l’8.30 percento del totale di computer infetti, si può trovare spesso nei siti di file sharing come portali torrent, comunità “warez” o altri servizi di communities che contengono materiale piratato. Il Trojan è un piccolo script che forza la pubblicità nel browser. Alcune pubblicità sono relative a giochi online gratuiti, altre possono esporre i computer a messaggi e immagini pornografiche o altri tipi di contenuto inappropriato.
Con la percentuale di 8.17, la seconda minaccia della classifica di Gennaio è Trojan.AutorunInf.Gen, un meccanismo generico di diffusione del malware attraverso dispositivi mobili come flash drives, memory cards o hard-disk esterni. Ad esempio, Win32.Worm.Downadup e Worm.Zimuse sono due delle più famose famiglie di malware che utilizzano questo approccio per infettare altri sistemi. Per questo motivo, dovrebbe venire posta grande attenzione durante l’utilizzo dei dispositivi rimovibili: possono essere una utile soluzione per il trasporto dei dati , ma possono anche diventare pericolosi se utilizzati senza attenzione. Librerie, copisterie e di altri hotspot pubblici sono di solito le fonti più note di infezione.
Al terzo posto nel report mensile, troviamo Win32.Worm.Downadup.Gen responsabile del 6.18 percento delle infezioni totali. Sfruttando una vulnerabilità del Microsoft Windows Server Service RPC Handling Remote Code Execution (MS08-67), questo worm si diffonde su altri computers del network impedendo l’accesso degli utenti a Windows Update e alle pagine dei produttori di prodotti per la sicurezza informatica. Le varianti più nuove del worm installano anche una finta applicazione antivirus. La persistenza di questo worm dopo più di un anno dalla sua prima apparizione rivela che molti utenti sono ancora riluttanti nell’aggiornare i propri sistemi operativi e le loro soluzioni antimalware.
La quarta minaccia della classifica di BitDefender per Gennaio è Exploit.PDF-JS.Gen, con il 5.76 percento del totale delle infezioni. Questo rilevamento generico sfrutta diverse vulnerabilità dei file PDF trovate nel motore Javascript di Adobe PDF Reader per poter eseguire codici pericolosi. Una volta aperto il file PDF corrotto, un codice Javascript “infetto” scarica ed esegue del codice binario da postazioni remote.
Al quinto posto con il 4.30 percento un malware chiamato Trojan.Wimad.Gen.1 che si trova in particolare nei siti web Torrent camuffato come se fosse un episodio inedito della propria serie televisiva preferita. Questi falsi files video sono in grado di connettersi a specifiche URL e scaricare un malware che a sua volta nasconde un finto codec per “riprodurre” il video. Trojan.Wimad.Gen.1 è particolarmente attivo quando sono in circolazione nei cinema film molto attesi.
La lista delle minacce elettroniche di BitDefender per Gennaio 2010 include:
1. Trojan.Clicker.CM - 8,30%
2. Trojan.AutorunINF.Gen - 8,17%
3. Win32.Worm.Downadup.Gen - 6,18%
4. Exploit.PDF-JS.Gen - 5,76%
5. Trojan.Wimad.Gen.1 - 4,30%
6. Win32.Sality.OG - 2,73%
7. Trojan.Autorun.AET - 2,01%
8. Worm.Autorun.VHG - 1,69%
9. Trojan.Script.254568 - 1,40%
10. Trojan.JS.QAF - 1,40%
ALTRI - 58,01%
Facebook: nuovi attacchi phishing
Molti utenti starebbero ricevendo mail nelle quali vengono invitati ad aggiornare i propri account su Facebook, cliccando su un collegamento di presunto aggiornamento (update).
Si tratta ovviamente e-mail fasulle e il link indirizza l'utente a una pagina web contraffatta attraverso la quale gli aggressori cercano di carpire credenziali ed informazioni personali.
L'utente viene inoltre invitato a installare una sorta di programma - denominato "updatetool" - che in realtà si rivela una variante del trojan "Zbot", progettato per rubare le password contenute all’interno del personal computer della vittima.
I consigli per proteggersi sono quelli "tradizionali": attenzione alle email e ai link in esse contenuti; costante aggiornamento del software di sicurezza.