Category Archives: Virus & Spyware

Tutto ciò che ha a che fare con spyware, malware, virus… Info e trucchi su come evitarli e rimuoverli.

07.27.08
by

Antivirus Rescue CDs: Avira, Kaspersky, BitDefender e F-Secure

Quella che vado a segnalare oggi è una lista di 4 rescue disk rilasciati gratuitamente da alcune delle piu’ famose firme nel campo degli Antivirus: per l’appunto Kaspersky, BitDefender, F-Secure e Avira.
Questi tipo di cd possono tornare decisamente utile nel caso ci si trovi di fronte a un sistema non piu’ bootabile o cmq altamente instabile (esempio continui crash del processo explorer.exe, la shell di windows).
La procedura è abbastanza semplice:
1. Download della .iso dal sito del produttore
2. Masterizzazione su supporto CD-R o CD-RW
3. Boot da CD
4. Eventuale update online con le ultime firme se previsto dalla versione (non tutti supportano questa features)
5. Scansione e rimozione di antivirus e malware vari

Ogni rescue cd ha i suoi pro e i suoi contro. Il fatto poi di essere “affezzionato utente” dell’uno o dell’altro puo’ sicuramente portare a scegliere su basi personali.
E’ bene quindi chiarire alcune cose fondamentali:
– Kaspersky è sicuramente uno dei migliori antivirus sul mercato (personalmente utilizzo KIS 2009) tuttavia gli aggiornamenti del rescue cd non sono cosi’ frequenti e non c’è un sistema di update automatico
– Avira in base alle classifiche dei vari test antivirus (es: AV-Comparatives) risulta essere da un po’ di tempo a questa parte sempre tra le prime posizioni, molto spesso poco prima o poco dopo Kaspersky in fatto a percentuale di rilevamento. Vengono rilasciate versioni sempre aggiornate (anche su base giornaliera) del del rescue cd tuttavia non è pensabile masterizzare ogni volta un nuovo cd.
– Le soluzioni di BitDefender e F-Secure invece utilizzano un ottimo sistema di update che all’avvio tenta di recuperare basi aggiornate dal sito produttore sfruttando la presenza di una connessione di rete. Le nuove firme eventualmente scaricate vengono salvate in RAMDISK.

E’ abbastanza evidente che i piu’ “completi” risultano essere proprio i rescue disk di BitDefender e F-Secure. A voi comunque la scelta e come si suol dire la “prova su strada”! 😀

Questi i link per scaricare le immagini dei rispettivi CD:
– Avira AntiVir Rescue System: download iso
– BitDefender RescueCD v2: download iso
– F-Secure Rescue CD 3.00: download iso
– Kaspersky KAV Rescue 2008: download iso

07.18.08
by

AVG Free 8.0 italiano: un milione di download in un solo mese!

AVG Technologies, produttore dell’omonimo software per la sicurezza su internet, annuncia che il suo prodotto, AVG Free 8.0, è stato scaricato da più di un milioni di utenti italiani attraverso www.html.it nel giro di un solo mese, dal 14 giugno al 14 luglio 2008.

AVG Free risulta così l’applicazione più scaricata in assoluto in un periodo di tempo così breve (v. http://download.html.it). Da aprile, quando è stato lanciato il prodotto in inglese sul mercato, gli italiani che lo hanno scaricato da html.it sono circa 3.300.000.

L’altissimo numero di download raggiunto conferma quanto AVG sia davvero apprezzato dagli utenti. AVG Free è il software più scaricato su html.it tra il 14 Giugno e il 14 Luglio 2008. Solo un altro anti-virus è presente nella top-ten del sito. Si tratta di Avast, che occupa la nona posizione e che raggiunge solamente il 20 per cento dei download registrati da AVG nello stesso periodo.

AVG Free offre protezione di base contro virus e spyware, insieme alla componente di navigazione sicura fornita dalla tecnologia brevettata da AVG LinkScanner®. La versione free non include la componente di navigazione sicura proattiva, che fa parte del modulo completo di LinkScanner® e si può trovare invece inclusa nei prodotti AVG destinati al commercio. AVG Free non fornisce inoltre protezione contro hackers, keyloggers, spam, attacchi di phishing e download di file infetti.

Ulteriori dettagli e informazioni sui prodotti AVG sono reperibili sul sito www.avg.it.

AVG Free 8.0 è realizzato per l’utilizzo personale e non commerciale su singoli computer che supportano Windows 2000, XP o Vista ed è attualmente disponibile in inglese, giapponese e italiano. Sebbene AVG Technologies non offra supporto per l’utilizzo di AVG Free 8.0, l’azienda ospita un sito web e un forum per favorire la diffusione del supporto fornito da parte degli utenti, all’indirizzo http://free.avg.it (che è assimilabile a free.avg.com per questioni di corporate appearance).

FONTE: Comunicato stampa di AVG Technologies

07.13.08
by

Allerta virus per i fan di Homer Simpson

Alcuni anni fa (nel 2003) molti fans dei Simpons alla loro lista dei contatti AIM aggiunsero “Chunkylover53” dopo aver saputo che il produttore dello show rispondeva online alle domande degli spettatori facendo le veci di Homer e usando l’account “Chunkylover53@aol.com”.
Lo screen name è rimasto inattivo sin da allora, fino a quando qualche giorno fa il messaggio “away” (non al computer) di Chunkylover53 è apparso indicando la possibilità di vedere in anteprima su Internet una nuova puntata dei Simpsons.
Naturalmente non esiste alcun video. Si tratta chiaramente di un file .exe infetto che una volta eseguito installa un Trojan trasformando la macchina in uno zombie pc appartenente ad una botnet turca, stando a quanto dichiarato da FaceTime.

AIM Virus Homer Simpson

AIM Virus Homer Simpson

FONTE:
– Homer Simpson and the Kimya Botnet, by FaceTime Security Labs Blog

05.17.08
by

In arrivo le nuove tecniche per i rootkits

In occasione dei prossimi convegni sulla computer security, vari hackers/security researchers stanno preparando il proprio materiale in tema di rootkits.
Sebastian Muñiz di Core Security ha sviluppato un rootkit per i router Cisco e sta pensando di presentarlo all’EuSecWest Conference che si terrà a Londra il 21 e 22 di maggio.
Sherri Sparks e Shawn Embleton di Clear Hat Consulting sfruttano un operational mode poco conosciuto dei processori Intel per nascondere il codice. Il loro lavoro sarà presentato alla conferenza Black Hat USA 08 il 6-7 agosto al Caesars Palace Hotel and Casino di Las Vegas.

Il rootkit sviluppato da Sparks e Shawn usa il System Management Mode (SMM) dei processori Intel per nascondere in memoria un key logger.
Il System Management Mode è pensato per individuare e reagire a eventi di sistema come errori della memoria e del chipset, estendendo le funzionalità della scheda madre e gestendo il controllo della temperatura e dell’alimentazione.
SMM è implementato su tutti i moderni processori x86 e x64, inclusi quelli prodotti da Via e AMD.
Il sistema operativo non è in grado di interrompere una chiamata SMM.
Quando il processore riceve un System Management Interrupt (SMI) non-maskable, viene sospesa l’esecuzione del s.o. stesso e dei programmi, salvato lo stato della macchina, ed eseguito il codice da una zona di memoria privilegiata e nascosta.
Uno dei pericoli è che il codice non può accedere alcun drivers del sistema operativo in modalità SMM, ma deve “dialogare” direttamente con l’hardware.

Alla CanSecWest Conference del 2006, Loic Duflot ha presentato un articolo in cui mostra come i superusers possano innalzare i propri privilegi grazie a SMM su un sistema OpenBSD. Al tempo pero’ non fu reso pubblico alcun rootkit per SMM.

Il rootkit per l’IOS Cisco sviluppato da Sebastian Muñiz di Core Security Technologies presumibilmente gira su diverse versioni del sistema operativo.
Un attaccante deve prima di tutto ottenere l’accesso alla macchina che vuole compromettere, magari mediante una vulnerabilità nota (della particolare versione) e code injection.
Il codice viene quindi memorizzato nel firmware e immediatamente eseguito una volta che il device viene riavviato.
Apparentemente, i router Cisco possono essere controllati e monitorati senza che nessuno se ne accorga.
Muñiz ha già fatto sapere che non rilascierà il codice sorgente per questo rootkit.

Preoccupante inoltre come recentemente, l’FBI abbia individuato moduli e appliances Cisco piratati, utilizzati dal governo e dai militari. L’ipotesi alquanto preoccupante è che qualcuno stia già utilizzando questi devices per scopi di spionaggio.
Il rootkit di Muñiz potrebbe dimostrare come questo pericolo non sia solamente teorico, ma effettivamente reale, anche Cisco non ha individuato nulla di anomalo nei dispositivi sequestrati dall’FBI.

Va ricordato a riguardo quanto successe in occasione del Black Hat 2005, quando Michael Lynn parlò di alcune vulnerabilità dei router Cisco che consentivano l’injection e l’esecuzione di codice malevole.
Cisco scatenò l’inferno tentando di impedire a Lynn di fare la presentazione, addirittura intentandogli causa.
L’avvocato Jennifer Granick di Electronic Freedom Foundation (EFF), che rappresentò Lynn nel caso contro Cisco, avverte che la cosa potrebbe ripetersi, con Cisco che potrebbe intentare causa contro Muñiz per violazione di segreti commerciali.
A quanto pare però Muñiz non sembra molto preoccupata dalla cosa visto la brutta figura che ci fece Cisco nel 2005.
Dice infatti: “Cisco si definisce come una società molto vicina e amichevole nei confronti di chi svolge ricerca… Ci penseranno bene prima di intentare un’azione legale.”.

FONTI:
* Security Researcher to release Cisco rootkit at EUSecWest, news sul blog di Nathan McFeters
* A New Breed of Rootkit: The System Management Mode (SMM) Rootkit, annuncio della presentazione di Shawn Embleton e Sherri Sparks al BlackHat USA 08
* Hackers present new rootkit techniques, by Heise Security

03.21.08
by

Spybot Search&Destroy ora anche anti-rootkit!

I creatori del noto software anti-spyware SpyBot Search&Destroy si son dati da fare e hanno realizzato un aggiornamento sotto forma di plugin che consente di cercare e individuare eventuali rootkits.
Il tool può essere eseguito anche come programma standalone.

Spybot Search&Destroy RootAlyzer

RootAlyzer, questo il nome del software, è ancora in fase di sviluppo ma può essere scaricato gratuitamente dal forum di Spybot Search&Destroy. Agisce controllando il registro, il file system e i processi in esecuzione alla ricerca di incoerenze e utilizzi sospetti di chiamate di sistema di vario tipo e API Win32 (possibile segnale di rootkits “a bordo”).

Per effettuare il download del programma cliccate qui.

RIFERIMENTI:
– L’annuncio sul sito di Spybot Search&Destroy
– Spybot Search&Destroy learns to sniff out rootkits, by Heise Security

03.01.08
by

Scoperto un database con più di 8000 account ftp rubati

La società di sicurezza Finjan ha scoperto sul web un database contenente all’incirca 8700 account ftp rubati e appartenenti a siti web, alcuni dei quali di “alto profilo”: società governative, servizi finanziari, fornitori tecnologi e industriali oltre a vari security vendors.
La maggior parte appartiene a organizzazioni dislocate negli Stati Uniti e Russia, con l’Australia e i paesi asiatici del pacifico al secondo posto.

Il database sembra sia stato ricavato mediante l’uso di Neosploit versione 2, uno fra i numerosi toolkits automatici che facilitano attacchi di tipo iframe injection sui server web per la distrubuzione di trojans.
Di origine chiaramente russa il software è caratterizzato da una interfaccia utente ben realizza che include anche un “servizio statistiche”.

Nel suo “Malicious Page of the Month” di febbraio, Finjan descrive in maniera approfondita il “crimeware tool”, incluso un componente chiamato FTP-Toolz pack 2.7, che in aggiunta ad installare iframes, può importare e esportare liste di account da database come quello scoperto di recente.

APPROFONDIMENTI:
– Over 8000 ftp credentials found on crimeware database, by Heise Security
– Malicious Page of the Month – February 2008, report by Finjan

02.17.08
by

Anche Linux nel mirino delle botnets

Il fatto che Windows sia il sistema sicuramente più diffuso è dato di fatto, così come che la maggior parte del malware e dei virus sviluppati dai vari crackers abbia come target piattaforme Microsoft, Vista o Xp che sia.
Spesso si scatenano su forum, blog, siti tecnici o meno vere e proprie guerre di religione tra i vari “taleban linux” e “taleban windows”.
Gli uni a sostenere Windows è meglio di Linux perchè blablabla, gli altri viceversa a dire Windows è una ciofecca usate Linux se volete essere dei “veri fighi”, superprotetti da qualsiasi minaccia.
Quello che penso è che non esiste un sistema operativo che possa definirsi “MIGLIORE” di altri, ognuno nel bene e nel male ha i suoi pregi e difetti.
Per motivi di lavoro uso Windows XP (in particolare) quasi tutto il tempo. Ai tempi dell’università ho smanettato parecchio con Linux, in tutte le varie salse: anche qui sul numero di distribuzioni Linux che prolificano si potrebbe aprire un dibattito.
Così come mi diverto ogni tanto a provare le varie security-distro Backtrack, Hakin9, Helix, Phlak e chi più ne ha più ne metta, anche se ormai il tempo è quello che è. Ho installato e mantenuto un serverino a casa con OpenBSD 3.9 per alcuni mesi, fino alla rottura di un disco 🙁
L’indole da smanettone ti porta poi a provare anche s.o. non troppo diffusi: il mitico QNX o il buon vecchio BeOS (ora rimpiazzato da Haiku).
Di tutti quanti ti fai un’impressione, a volte più o meno superficiale per questioni di tempo o per via di un primo impatto non troppo positivo.

Quando ho letto questa news su Heise Security riguardo il moltiplicarsi di macchine Linux che “entrano a far parte” delle cosiddette botnets, un po’ mi è venuto da sorridere.
Pensavo a come molto spesso si decanti tanto la superiorità di Linux (per carità molto spesso a ragione), e poi si legga come una backdoor (Linux/Rst-B backdoor) di ben 6 anni fa sia il motivo principale del problema.
L’indagine realizzata da Sophos evidenzia come stia aumentando il numero di Linux servers che vengono infettati e diventino a tutti gli effetti zombies pc nelle mani di crackers sparsi nel globo pronti ad utilizzarli come nodi per gli attacchi più svariati (spam, DDoS, etc.).
Come suggerisce l’articolo già solo il fatto di avere anche su Linux installato un antivirus basterebbe ad evitare tutto ciò, visto che la vulnerabilità in questione è individuabile da tutti gli antivir in circolazione.
Tra quelli free ricordiamo:
* Avira: Avira AntiVir PersonalEdition Classic
* AVG Technologies (formerly Grisoft) AVG Anti-Virus Free Edition 7.5 for Linux
* Avast: avast! Linux Home Edition Download
* F-Prot: F-PROT Antivirus for Linux Workstations
* ClamAV: Clam AntiVirus

La verità è quella racchiusa in una frase che fa il giro della rete da anni e che sembra estratta da un vecchio proverbio: “l’unico sistema sicuro è quello spento“.
D’altronde anche Windows può essere reso un po’ più sicuro in pochi passaggi:
– lavorare sempre e cmq con un account non privilegiato, si puo’ fare tutto dal programmare al giocare
– installare un buon firewall e antivirus
– installare un paio di tools per la rilevazione di spyware e malware
Ci vuole poi cosi’ tanto?

APPROFONDIMENTI:
* Sophos: Linux machines hijacked for botnets, by Heise Security
* Botnets, a free tool and 6 years of Linux/Rst-B, blog entry by Sophos
* Botnet study: bots spread through old loopholes

02.02.08
by

StopBadware classifica RealPlayer come "badware"

A quanto pare recentemente (28 gennaio scorso) StopBadware, l’iniziativa creata da varie società IT e istituzioni, ha classificato il noto software RealPlayer come “badware”.
Questo nomignolo viene affibiato a tutti quei software come spyware, adware e malware di vario tipo che “spiano nel tempo” la navigazione degli utenti (tracciandone le abitudini), generano una miriade di finestre popup contenenti pubblicità e nei casi peggiori addirittura tentano di intercettare le password memorizzate sui computer infetti.

Il motivo per cui StopBadware ha classificato RealPlayer 10.5 come badware è perchè il software in questione non espone in maniera chiara all’utente finale che viene installato anche un adware. Il componente pubblicitario è il cosiddetto RealPlayer Message Center. L’EULA (End User License Agreement) per RealPlayer indica che questo componente fornisce aggiornamenti importanti/utili. In realtà Message Center continua a mostrare un fastidioso avviso se gli utenti non registrano i propri dati personali creando un account su RealNetworks.

RealPlayer 11 dal canto suo non informa l’utente che il player Rhapsody (utile per l’online music store di RealNetworks) viene installato, ma non rimosso quando si va ad effettuare la disinstallazione del prodotto.
Nessun avviso ne’ in fase di installazione, ne’ in fase di disinstallazione avverte l’utente del legame che c’è tra RealPlayer e il Rhapsody Player.

Attualmente la versione 10.5 viene installata anche attraverso il Mozilla Plugin Finder, mentre la 11 è disponibile per il download direttamente sull’homepage di RealPlayer.
StopBadware sconsiglia quindi vivamente l’installazione di questo software e in particolare di queste versioni fino a quando RealNetworks non risponderà alla segnalazione rilasciando una versione pulita del proprio programma.

In alternativa è possibile usare VLC Mediaplayer per ascoltare musica in formato RealMedia, prestando però attenzione ai data stream RTSP visto che il software soffre ancora di un bug scoperto qualche settimana fa.
Altra possibilità è l’uso di Real Alternative, player che incorpora i codec RealPlayer, tuttavia senza il permesso di RealNetworks.
Risulta evidente che si tratta di una soluzione non propriamente legale 😀

RIFERIMENTI:
– StopBadware initiative rates RealPlayer as “badware”, by Heise Security
– RealPlayer, report by StopBadware

01.22.08
by

Pubblica la beta di AVG 8

Grisoft ha reso disponibile e scaricabile a tutti la beta della nuova versione di AVG, la 8 per l’appunto.
Il software a quanto dichiarato offre nuove funzionalità e sembra sia stato riscritto quasi completamente.
AVG 8 si presenta con una nuova interfaccia.

AVG 8 beta antivirus Screenshot

Le nuove features includono un modulo per il controllo web e per il traffico di instant messaging, il filtro per gli script LinkScanner sviluppato dalla neo-acquisita Exploit Prevention Labs, e un componente anti-rootkit.
Il nuovo motore di scansione si presuppone abbia migliorato l’euristica e le capacità di individuare nuovi virus.
Migliorata a quanto si dice anche la velocità e diminuito il consumo di risorse.
Nonostante l’interfaccia sia stata pensata per rendere più semplice l’accesso alle varie funzioni per gli utenti meno esperti, è ancora possibile accedere dal menu alle funzionalità avanzate.
Per dare uno sguardo da vicino alla nuova versione è sufficiente registrarsi e scaricare la beta.
Le versioni supportate di Windows sono Windows 2000,2003,XP,Vista e le versioni 64-bit di XP, Vista, 2000 Server, 2003.
AVG 8 beta rimarrà disponibile per il download fino al 1 marzo 2008.

RIFERIMENTI:
– Public beta for AVG 8: news by Heise Security
– Download AVG 8 beta (necessaria registrazione)

12.21.07
by

Disponibile la beta di Norton 360 V2

Symantec ha reso disponibile la beta di Norton 360 Versione 2.
La suite di sicurezza all-in-one è costituita dai seguenti moduli: antivirus e antispyware, personal firewall, intrusion prevention, anti-phishing. E’ inoltra inclusa anche una funzionalità di clean-up del sistema operativo e un modulo per il backup.

Nella versione 2, sono stati introdotti componenti addizionali come il Browser Defender che in Internet Explorer tenta di identificare e prevenire i tentativi di installazione automatica di malware. Presente anche un gestore di passwords per memorizzare i propri account e per la compilazione assistita/automatica durante la navigazione.
E infine stando a quanto dichiarato la funzionalità di backup sarebbe ora in grado di creare copie su dischi Blu-ray e su iPod.

La fase di beta sembra durerà per circa 4 settimane.
La versione finale dovrebbe comparire dopo poche settimane, il tempo di ultimare gli ultimi fixing e processi minori come la localizzazione.

LINK PER IL DOWNLOAD: Norton 360 V2 Beta